Apache shiro RegExPatternMatcher 权限绕过漏洞 (CVE-2022-32532)

漏洞描述

2022年6月29日，Apache 官方披露 Apache Shiro （CVE-2022-32532）权限绕过漏洞。
当Apache Shiro中使用RegexRequestMatcher进行权限配置，且正则表达式中携带"."时，未经授权的远程攻击者可通过构造恶意数据包绕过身份认证，导致配置的权限验证失效。

相关介绍

Apache Shiro 是一个功能强大且易于使用的 Java 安全框架，它可以执行身份验证、授权、加密和会话管理，可以用于保护任何应用程序——从命令行应用程序、移动应用程序到最大的 web 和企业应用程序。

影响版本

安全版本：Apache Shiro = 1.9.1
受影响版本：Apache Shiro < 1.9.1

漏洞

贴上我遇到的漏洞截图，如下图：
在这里插入图片描述
根据提示将相关包的版本升级至1.9.1，打包程序并部署。
发现还是会扫描出该漏洞，依次升级至1.10.0、1.11.0、1.12.0，直到1.12.0版本该漏洞未出现了。

本以为是简单的版本升级，结果发现登录请求里的createToken之类的方法每次都执行2次；

跟踪代码

  • Shiro配置类ShiroConfig中的shiroFilterFactoryBean方法
    @Beanpublic ShiroFilterFactoryBean shiroFilterFactoryBean(SecurityManager securityManager){ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();// Shiro的核心安全接口,这个属性是必须的shiroFilterFactoryBean.setSecurityManager(securityManager);// 身份认证失败，则跳转到登录页面的配置shiroFilterFactoryBean.setLoginUrl(loginUrl);// 权限认证失败，则跳转到指定页面shiroFilterFactoryBean.setUnauthorizedUrl(unauthorizedUrl);// Shiro连接约束配置，即过滤链的定义LinkedHashMap<String, String> filterChainDefinitionMap = new LinkedHashMap<>();// 对静态资源设置匿名访问...........return shiroFilterFactoryBean;}
  • 进一步追踪
private void applyGlobalPropertiesIfNecessary(Filter filter) {this.applyLoginUrlIfNecessary(filter);this.applySuccessUrlIfNecessary(filter);this.applyUnauthorizedUrlIfNecessary(filter);if (filter instanceof OncePerRequestFilter) {((OncePerRequestFilter)filter).setFilterOncePerRequest(this.filterConfiguration.isFilterOncePerRequest());}}public Object postProcessBeforeInitialization(Object bean, String beanName) throws BeansException {if (bean instanceof Filter) {log.debug("Found filter chain candidate filter '{}'", beanName);Filter filter = (Filter)bean;this.applyGlobalPropertiesIfNecessary(filter);this.getFilters().put(beanName, filter);} else {log.trace("Ignoring non-Filter bean '{}'", beanName);}return bean;}

从上面方法可以看出来postProcessBeforeInitialization方法在bean初始化的时候去执行, 将自定义的登录过滤器中的setFilterOncePerRequest设置为了ShiroFilterConfiguration实例中给定的值；
其值默认是false，未启用OncePerRequestFilter的只执行一次机制

OncePerRequestFilter 类的核心方法（1.9.0和1.12.0版本的区别）

  • Apache Shiro = 1.9.0时，OncePerRequestFilter类源码
package org.apache.shiro.web.servlet;import java.io.IOException;
import javax.servlet.FilterChain;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;public abstract class OncePerRequestFilter extends NameableFilter {private static final Logger log = LoggerFactory.getLogger(OncePerRequestFilter.class);public static final String ALREADY_FILTERED_SUFFIX = ".FILTERED";private boolean enabled = true;public OncePerRequestFilter() {}public boolean isEnabled() { return this.enabled; }public void setEnabled(boolean enabled) { this.enabled = enabled; }public final void doFilter(ServletRequest request, ServletResponse response, FilterChain filterChain) throws ServletException, IOException {String alreadyFilteredAttributeName = this.getAlreadyFilteredAttributeName();if (request.getAttribute(alreadyFilteredAttributeName) != null) {log.trace("Filter '{}' already executed.  Proceeding without invoking this filter.", this.getName());filterChain.doFilter(request, response);} else if (this.isEnabled(request, response) && !this.shouldNotFilter(request)) {log.trace("Filter '{}' not yet executed.  Executing now.", this.getName());request.setAttribute(alreadyFilteredAttributeName, Boolean.TRUE);try {this.doFilterInternal(request, response, filterChain);} finally {request.removeAttribute(alreadyFilteredAttributeName);}} else {log.debug("Filter '{}' is not enabled for the current request.  Proceeding without invoking this filter.", this.getName());filterChain.doFilter(request, response);}}protected boolean isEnabled(ServletRequest request, ServletResponse response) throws ServletException, IOException {return this.isEnabled();}protected String getAlreadyFilteredAttributeName() {String name = this.getName();if (name == null) {name = this.getClass().getName();}return name + ".FILTERED";}/** @deprecated */@Deprecatedprotected boolean shouldNotFilter(ServletRequest request) throws ServletException {return false;}protected abstract void doFilterInternal(ServletRequest var1, ServletResponse var2, FilterChain var3) throws ServletException, IOException;
}
  • Apache Shiro = 1.12.0时，OncePerRequestFilter 类源码
package org.apache.shiro.web.servlet;import java.io.IOException;
import javax.servlet.FilterChain;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;public abstract class OncePerRequestFilter extends NameableFilter {private static final Logger log = LoggerFactory.getLogger(OncePerRequestFilter.class);public static final String ALREADY_FILTERED_SUFFIX = ".FILTERED";private boolean enabled = true;private boolean filterOncePerRequest = false;public OncePerRequestFilter() {}public boolean isEnabled() { return this.enabled; }public void setEnabled(boolean enabled) { this.enabled = enabled; }public boolean isFilterOncePerRequest() { return this.filterOncePerRequest; }public void setFilterOncePerRequest(boolean filterOncePerRequest) {this.filterOncePerRequest = filterOncePerRequest;}public final void doFilter(ServletRequest request, ServletResponse response, FilterChain filterChain) throws ServletException, IOException {String alreadyFilteredAttributeName = this.getAlreadyFilteredAttributeName();if (request.getAttribute(alreadyFilteredAttributeName) != null && this.filterOncePerRequest) {log.trace("Filter '{}' already executed.  Proceeding without invoking this filter.", this.getName());filterChain.doFilter(request, response);} else if (this.isEnabled(request, response) && !this.shouldNotFilter(request)) {log.trace("Filter '{}' not yet executed.  Executing now.", this.getName());request.setAttribute(alreadyFilteredAttributeName, Boolean.TRUE);try {this.doFilterInternal(request, response, filterChain);} finally {request.removeAttribute(alreadyFilteredAttributeName);}} else {log.debug("Filter '{}' is not enabled for the current request.  Proceeding without invoking this filter.", this.getName());filterChain.doFilter(request, response);}}protected boolean isEnabled(ServletRequest request, ServletResponse response) throws ServletException, IOException {return this.isEnabled();}protected String getAlreadyFilteredAttributeName() {String name = this.getName();if (name == null) {name = this.getClass().getName();}return name + ".FILTERED";}/** @deprecated */@Deprecatedprotected boolean shouldNotFilter(ServletRequest request) throws ServletException {return false;}protected abstract void doFilterInternal(ServletRequest var1, ServletResponse var2, FilterChain var3) throws ServletException, IOException;
}

对比两个版本代码的发现：Apache Shiro = 1.12.0版本时，doFilter方法第三行代码增加了&& filterOncePerRequest判断，这个值就是通过ShiroFilterConfiguration > ShiroFilterFactoryBean一路传进来的，而且他是在构造ShiroFilterFactoryBean之后执行的, 比自定义Filter的构造时间要晚, 所以尝试在自定义过滤器的构造方法或者postxxx, afterxxx之类的方法中去设置为true都是没用的。

只能是构造ShiroFilterFactoryBean对象时, 设置其配置属性来解决问题。

解决方法

  • 创建ShiroFilterFactoryBean的时候, 给他一个ShiroFilterConfiguration实例对象, 并且设置这个实例的setFilterOncePerRequest(true)
    @Beanpublic ShiroFilterFactoryBean shiroFilterFactoryBean(SecurityManager securityManager){ShiroFilterConfiguration config = new ShiroFilterConfiguration();//全局配置是否启用OncePerRequestFilter的只执行一次机制config.setFilterOncePerRequest(Boolean.TRUE);ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();shiroFilterFactoryBean.setShiroFilterConfiguration(config);// Shiro的核心安全接口,这个属性是必须的shiroFilterFactoryBean.setSecurityManager(securityManager);// 身份认证失败，则跳转到登录页面的配置shiroFilterFactoryBean.setLoginUrl(loginUrl);// 权限认证失败，则跳转到指定页面shiroFilterFactoryBean.setUnauthorizedUrl(unauthorizedUrl);// Shiro连接约束配置，即过滤链的定义LinkedHashMap<String, String> filterChainDefinitionMap = new LinkedHashMap<>();// 对静态资源设置匿名访问...........return shiroFilterFactoryBean;}

总结

Apache Shiro = 1.9.0以前的版本，OncePerRequestFilter过滤器子类型默认只执行一次,
现在可以通过全局配置来选择是否启用OncePerRequestFilter的只执行一次机制.

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/92506.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

C#，数值计算——Ranlim32的计算方法与源程序

C#，数值计算——Ranlim32的计算方法与源程序

1 文本格式 using System; namespace Legalsoft.Truffer { /// <summary> /// High-quality random generator using only 32-bit arithmetic.Same conventions /// as Ran.Period is 3.11E37 . Recommended only when 64-bit arithmetic is not /// a…
阅读更多...
01-http概述

01-http概述

HTTP概述 HTTP使用的是可靠地数据传输协议。HTTP属于应用层协议 Web客户端和服务器 web服务器&#xff1a;又称http服务器&#xff0c;用于存储web内容&#xff0c;并向web客户端提供web内容web客户端&#xff1a;用于请求web服务器的应用软件&#xff0c;常见为浏览器 资源…
阅读更多...
【ShaderLab PBR 嗜血边缘角色_美式朋克风格_“Niohoggr“_角色渲染(第一篇)】

【ShaderLab PBR 嗜血边缘角色_美式朋克风格_“Niohoggr“_角色渲染(第一篇)】

嗜血边缘角色Cyberpunk style Unity 渲染 《嗜血边缘》截取其中的片段如下：资源分析其中Guitar贴图4张模型：人物细节图：人物模型 Inspector面板这里做一个区域区分：Body贴图1_BC贴图1_BC属性：Body贴图2_NBody贴图3_CMBody贴图4_SRMBody贴图4_RGBReflection Probe第一版Sha…
阅读更多...
【Linux】线程同步和互斥

【Linux】线程同步和互斥

目录 一、线程互斥1.相关概念2.互斥锁&#xff08;mutex&#xff09;3.互斥锁的原理4.自定义封装一个锁 二、可重入和线程安全三、死锁死锁概念死锁四个必要条件如何避免死锁 四、线程同步1.条件变量概念条件变量接口基于阻塞队列实现生产者消费者模型 2.信号量概念信号量操作接…
阅读更多...
深入理解React中fiber

深入理解React中fiber

一、前言 Fiber是对React核心算法的重写&#xff0c;Fiber是React内部定义的一种数据结构&#xff0c;将更新渲染耗时长的大任务&#xff0c;分为许多的小片。Fiber节点保存啦组件需要更新的状态和副作用&#xff0c;一个Fiber代表一个工作单元。 二、Fiber在React做了什么 …
阅读更多...
快速排序与冒泡排序以及代码

快速排序与冒泡排序以及代码

快速排序 快速排序&#xff08;Quicksort&#xff09;是一种常用的排序算法&#xff0c;它基于分治的思想。 时间复杂度&#xff1a;O&#xff08;nlogn&#xff09; 空间复杂度&#xff1a;O&#xff08;logn&#xff09; 快速排序的基本思想如下&#xff1a; 选择一个元素…
阅读更多...
xxl-job 2.2之后版本高版本executor未授权访问漏洞

xxl-job 2.2之后版本高版本executor未授权访问漏洞

xxl-job 低版本executor未授权访问 低版本的executor未授权访问漏洞是 POST /run HTTP/1.1 Host: your-ip:9999 Accept-Encoding: gzip, deflate Accept: */* Accept-Language: en User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like G…
阅读更多...
【租车骑绿道】python实现-附ChatGPT解析

【租车骑绿道】python实现-附ChatGPT解析

1.题目 租车骑绿道 时间限制:1s 空间限制:256MB 限定语言:不限 题目描述: 部门组织绿道骑行团建活动。租用公共双人自行车骑行，每辆自行车最多坐两人、做大载重M。 给出部门每个人的体重，请问最多需要租用多少双人自行车 输入描述 第一行两个数字m、n，自行车限重m,代表部门总…
阅读更多...
如何初始化一个vue项目

如何初始化一个vue项目

如何初始化一个vue项目 安装 vue-cli 后 ,终端执行 vue ui npm install vue-cli --save-devCLI 服务 | Vue CLI (vuejs.org) 等一段时间后 。。。 进入项目仪表盘 设置其他模块 项目构建后目录 vue.config.js 文件相关配置 官方vue.config.js 参考文档 https://cli.vuejs.o…
阅读更多...
BI神器Power Query（25）-- 使用PQ实现表格多列转换（1/3）

BI神器Power Query（25）-- 使用PQ实现表格多列转换（1/3）

实例需求&#xff1a;原始表格包含多列属性数据,现在需要将不同属性分列展示在不同的行中&#xff0c;att1、att3、att5为一组&#xff0c;att2、att3、att6为另一组&#xff0c;数据如下所示。 更新表格数据 原始数据表&#xff1a; Col1Col2Att1Att2Att3Att4Att5Att6AAADD…
阅读更多...
链表的注意事项

链表的注意事项

LeetCode 19 删除链表的倒数第N个结点 1、sudo.next head;和head sudo.next; 的区别&#xff1f; 他们是不一样的&#xff0c;前者是将head赋给sudo.next&#xff0c;而后者是将sudo.next赋给head。 首先ab&#xff0c;那么b必须存在 我想要将sudo作为虚拟头节点&#xf…
阅读更多...
SEO搜索引擎

SEO搜索引擎

利用搜索引擎的规则提高网站在有关搜索引擎内的自然排名&#xff0c;吸引更多的用户访问网站&#xff0c;提高网站的访问量&#xff0c;提高网站的销售能力和宣传能力&#xff0c;从而提升网站的品牌效应 搜索引擎优化的技术手段 黑帽SEO 通过欺骗技术和滥用搜索算法来推销毫不…
阅读更多...
黑豹程序员-架构师学习路线图-百科：Git/Gitee（版本控制）

黑豹程序员-架构师学习路线图-百科：Git/Gitee（版本控制）

文章目录 1、什么是版本控制2、特点3、发展历史4、SVN和Git比较5、Git6、GitHub7、Gitee&#xff08;国产&#xff09;8、Git的基础命令 1、什么是版本控制 版本控制系统&#xff08; Version Control &#xff09;版本控制是一种管理和跟踪软件开发过程中的代码变化的系统。它…
阅读更多...
嵌入式Linux应用开发-基础知识-第十八章系统对中断的处理③

嵌入式Linux应用开发-基础知识-第十八章系统对中断的处理③

嵌入式Linux应用开发-基础知识-第十八章系统对中断的处理③ 第十八章 Linux系统对中断的处理 ③18.5 编写使用中断的按键驱动程序 ③18.5.1 编程思路18.5.1.1 设备树相关18.5.1.2 驱动代码相关 18.5.2 先编写驱动程序18.5.2.1 从设备树获得 GPIO18.5.2.2 从 GPIO获得中断号18.5…
阅读更多...
【QT】使用toBase64方法将.txt文件的明文变为非明文（类似加密）

【QT】使用toBase64方法将.txt文件的明文变为非明文（类似加密）

目录 0.环境 1.背景 2.详细代码 2.1 .h主要代码 2.2 .cpp主要代码&#xff0c;主要实现上述的四个方法 0.环境 windows 11 64位 Qt Creator 4.13.1 1.背景 项目需求&#xff1a;我们项目中有配置文件&#xff08;类似.txt&#xff0c;但不是这个格式&#xff0c;本文以…
阅读更多...
C#，数值计算——Ranhash的计算方法与源程序

C#，数值计算——Ranhash的计算方法与源程序

1 文本格式 using System; namespace Legalsoft.Truffer { /// <summary> /// High-quality random hash of an integer into several numeric types. /// </summary> public class Ranhash { public Ranhash() { }…
阅读更多...
【新版】系统架构设计师 - 未来信息综合技术

【新版】系统架构设计师 - 未来信息综合技术

个人总结&#xff0c;仅供参考&#xff0c;欢迎加好友一起讨论 文章目录 架构 - 未来信息综合技术考点摘要信息物理系统CPS的体系架构CPS 的技术体系CPS应用场景 人工智能分类关键技术机器学习 机器人发展分类机器人4.0 边缘计算概念与特点边云协同安全应用场景 数字孪生关键技…
阅读更多...
【RuoYi项目分析】介绍RuoYi网关的过滤器

【RuoYi项目分析】介绍RuoYi网关的过滤器

文章目录 1. 网关的过滤器清单2. GatewayFilterFactory和GlobalFilter 的原理3. RuoYi网关的配置文件是如何配置的4. 资料参考 本文主要介绍 RuoYi 中用到的过滤器&#xff0c;以及过滤器原理简单分析。Spring Gateway 的详细原理请参考作者另外的文章。 1. 网关的过滤器清单 …
阅读更多...
前端开发和后端开发的一些建议

前端开发和后端开发的一些建议

前端开发和后端开发是Web开发的两个方向 前端开发主要负责实现用户在浏览器上看到的界面和交互体验&#xff0c;包括HTML、CSS和JavaScript等技术。后端开发主要负责处理服务器端的逻辑和数据&#xff0c;包括数据库操作、服务器配置和接口开发等技术。 前端开发 前端开发需…
阅读更多...
GitHub上有助于开发微信小程序的仓库

GitHub上有助于开发微信小程序的仓库

2023年9月30日&#xff0c;周六晚上 最近帮同学在GitHub找了一些开发小程序会用到的东西 目录 UI库WePY框架基于WePY框架的Demo微信小程序开发资源汇总 UI库 GitHub - Tencent/weui-wxss: A UI library by WeChat official design team, includes the most useful widgets/m…
阅读更多...
最新文章

Copyright @ 2022~2023