深度好文撸了阿里大佬的Cas反序列化漏洞
某次项目中遇到Cas，以前没接触过，借此机会学习一波。顺便给大家分享一下，看完记得点赞支持一下呀。
Cas简介
CAS是Yale大学发起的一个开源项目，旨在为Web应用系统提供一种可靠的单点登录方法，CAS在年12月正式成为JA-SIG的一个项目，开源的企业级单点登录解决方案。
远程调试环境搭建
下载地址，将环境war包下载，部署到tomcat即可。
tomcat目录bin文件下，startup_debug.bat
call%EXECUTABLE%start%CMD_LINE_ARGS%
改为
setJPDA_TRANSPORT=dt_socket
setJPDA_ADDRESS=
setJPDA_SUSPEND=n
call%EXECUTABLE%jpdastart%CMD_LINE_ARGS%
IDEA中设置Remote远程调试即可完成。
漏洞分析
漏洞详情
4.1.7版本之前存在一处默认密钥的问题，利用这个默认密钥我们可以构造恶意信息触发目标反序列化漏洞，进而执行任意命令。
影响版本ApereoCAS=4.1.7实际上4.2.X也能打，但是=4.1.7使用的是硬编码，而后者属于随机密钥感觉上和Shiro的有点类似解析流程分析
看web.xml得知，该项目基于SpringMVC开发。
上图请求路径是/login的这里来直接找login的处理方法进行跟踪。
从web.xml中可见，交给了DispatcherServlet去处理。
这时候可以查看springmvc的配置文件cas-servlet.xml
注意loginHandlerAdapter这个配置的bean，其中的属性有supportedFlowId的值为login，同时属性flowExecutor-ref的引用值为loginFlowExecutor。
再看loginFlowExecutor这个bean中所配置的登录流程属性引用值就是我们webflow上下文配置中的loginFlowRegistry这个属性。
因此我们来看一下loginHandlerAdapter这个bean对应的类为org.jasig.cas.web.flow.SelectiveFlowHandlerAdapter所起的作用，是如何来处理登录动作的。先来看一下这个类的父类org.springframework.webflow.mvc.servlet.FlowHandlerAdapter，这个是Springmvc中的一个类。
FlowHandlerAdapter实现接口HandlerAdapter，而SelectiveFlowHandlerAdapter继承自FlowHandlerAdapter。
SelectiveFlowHandlerAdapter类在cas-server-webapp-actions模块下的org.jasig.cas.web.flow包下。因此Spring的DispatcherServlet找到要处理的handleAdapter是SelectiveFlowHandlerAdapte。并且根据地址，得到handler的flowId=login，即流程：loginFlowRegistry。
然后进入下面的handle方法，开始调取流程：
当有登录请求时，spring则会调用该org.jasig.cas.web.flow.SelectiveFlowHandlerAdapter
跟进this.flowUrlHandler.getFlowExecutionKey(request)可见，该方法会获取请求中的execution参数。
而后会进行调用this.executionRepository.parseFlowExecutionKey(flowExecutionKey);获取到key。
跟进查看
可见从execution参数，后分割UUID和_后面部分，而后面部分进行base64解密。对返回id和data进行赋值，然后返回ClientFlowExecutionKey对象
下面调用this.executionRepository.getFlowExecution(key);，将刚刚获取到的ClientFlowExecutionKey对象，即key变量传递。跟进。
这地方进行了数据的反序列化操作。先来看到构造方法，使用AES/CBC/PKCS7加密方式，并且密钥使用默认的密钥进行加密。
而在解密后还会对数据进行解压缩GZIPInputStream处理后进行反序列化。
漏洞复现与利用
根据以上数据解析分析，我们只需要将cas中加密部分扣出来，然后进行GZIPOutputStream处理，而后将它进行base64加密，将处理后的gadgets加入到execution参数里面即可，当然还需要构造一下前面UUID的值。
从github找到现成工具。
