Apache Shiro 认证绕过漏洞复现

最新推荐文章于 2022-10-13 19:11:13 发布
VIP文章 最新推荐文章于 2022-10-13 19:11:13 发布
阅读量993 收藏
点赞数
文章标签： 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/DXfighting_/article/details/124203398
版权

Apache Shiro是一个强大且易用的Java安全框架，它可以用来执行身份验证、授权、密码和会话管理。目前常见集成于各种应用中进行身份验证，授权等。

在Apache Shiro 1.5.2以前的版本中，在使用Spring动态控制器时，攻击者通过构造`..;`这样的跳转，可以绕过Shiro中对目录的权限限制。

访问界面并抓包：

我直接访问admin，会302重定向

最低0.47元/天 解锁文章
DXfighting_
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
Apache Shiro身份验证绕过漏洞(CVE-2020-13933)
07-17
直接使用java -jar srping....war命令运行即可 执行之后，访问http://主机的IP:8888/admin/*或者http://主机的IP:8888/login
Apache Shiro 身份认证绕过漏洞(CVE-2022-32532)漏洞复现
qq_36584013的博客
06-30 2509
Apache Shiro 身份认证绕过漏洞(CVE-2022-32532)漏洞复现 0x01 漏洞简介 ​ Apache Shiro 是一个强大且易用的 Java 安全框架，通过它可以执行身份验证、授权、密码和会话管理。使用 Shiro 的易用 API，您可以快速、轻松地保护任何应用程序 —— 从最小的移动应用程序到最大的 WEB 和企业应用程序。 0x02 环境准备 vulfocus 靶场 h...
Apache Shiro 认证绕过漏洞 CVE-2020-1957 漏洞复现
qq_50854662的博客
10-13 317
Apache Shiro 认证绕过漏洞 CVE-2020-1957 漏洞复现
Apache Shiro 身份验证绕过漏洞安全风险通告
03-24
Apache Shiro 身份验证绕过漏洞安全风险通告
CVE-2020-13933 靶场： shiro 认证绕过漏洞.zip
最新发布
01-14
在靶场中，安全专业人员可以模拟攻击者的行为，发现系统和应用的漏洞，并进行渗透测试，从而及时修复和改进防御机制。同时，这也为防御方提供了锻炼机会，通过对抗攻击提高防御能力。 靶场的搭建还促进了团队协作与...
shiro认证绕过漏洞分析(CVE-2020-13933)1
08-03
1、去 https://start.spring.io/ 使用springboot脚手架搭建一个java8的springboot项目 2、用IDEA打开该项目，
Apache Shiro Padding Oracle漏洞可导致远程命令执行漏洞解决
01-09
背景：Apach Shiro官方披露其cookie持久化参数rememberMe加密算法存在漏洞，可被Padding Oracle攻击，攻击者利用Padding Oracle攻击手段可构造恶意的rememberMe值，绕过加密算法验证，执行java反序列化操作，最终可...
Apache shiro1.2.4反序列化漏洞介绍.docx
07-01
Apache shiro1.2.4反序列化漏洞介绍 Apache Shiro是一个Java安全框架，执行身份验证、授权、密码和会话管理。Apache Shiro框架提供了记住我（RememberMe）的功能，关闭了浏览器下次再打开时还是能记住你是谁，下次...
Apache Shiro教程
12-30
Apache Shiro 是一个框架，可用于身份验证和授权。Apache Shiro的教程（PDF），相关jar包，源码等。
Apache Shiro 使用手册（二） Shiro 认证
09-15
认证就是验证用户身份的过程。在认证过程中，用户需要提交实体信息(Principals)和凭据信息(Credentials)以检验用户是否合法。最常见的“实体/凭证”组合便是“用户名/密码”组合
Shiro-EXP:Apache Shiro 反序列化漏洞检测与利用工具，一键注入内存马
05-26
项目介绍基于Apache Shiro反序列化漏洞进行利用链的探测，附内存马。利用时需要修改POST请求两处数据，分别为Header头RememberMe字段值和携带的data数据（由于payload设定，data中须指定名字为c的参数值）。探测到...
shiro权限绕过漏洞分析(cve-2020-1957) _ Spoock1
08-03
在使用了shiro的项目中，是我们请求的URL(URL1),进过shiro权限检验(URL2), 最后到springboot项目找到路由来处理(URL3)漏洞的
shiro-site:Apache Shiro网站
04-28
Apache Shiro网站概述Apache Shiro网站是静态内容网站，可以从访问。 网站内容被创作为Markdown和HTML文件。 这些文件由工具扫描，该工具根据需要将页面模板应用于每个文件的内容，并将呈现的静态.html文件输出到...
Apache Shiro 权限绕过漏洞 （Shiro-682）复现
Ajekseg的博客
03-31 295
Apache Shiro 权限绕过漏洞 （Shiro-682）复现 环境搭建 下载代码 导入idea 检查 参考文章 环境搭建 下载代码 https://github.com/lenve/javaboy-code-samples/tree/master/shiro/shiro-basic 将上面地址里的tree/master换成trunk，然后用svn co检出 svn co https://github.com/lenve/javaboy-code-samples/trunk/shiro/sh
Apache Shiro 认证绕过漏洞（CVE-2020-1957）
EC_Carrot的博客
07-28 234
漏洞简介 在Apache Shiro 1.5.2以前的版本中，在使用Spring动态控制器时，攻击者通过构造…;这样的跳转，可以绕过Shiro中对目录的权限限制。 漏洞复现 直接请求管理页面http://your_ip:8080/admin/，无法访问，将会被重定向到登录页面，但是恶意构造/xxx/..;/admin/即可绕过检验访问到管理界面： ...
Apache Shiro 身份验证绕过漏洞复现 (cve-2020-1957)
渗透测试研究中心
11-29 216
0x00 漏洞描述Apache Shiro 1.5.2之前版本中存在安全漏洞。攻击者可借助特制的请求利用该漏洞绕过身份验证。Shiro框架通过拦截器功能来对用户访问权限进行控制，如anon, authc等拦截器。anon为匿名拦截器，不需要登录即可访问；authc为登录拦截器，需要登录才可以访问。Shiro的URL路径表达式为Ant格式，路径通配符*表示匹配零个或多个字符串，/*可以匹配/hel...
Apache Shiro 身份验证绕过漏洞 (CVE-2020-1957)复现
Makboli的博客
08-22 757
Apache Shiro身份验证绕过漏洞复现
spring boot 解决Apache Shiro身份认证绕过漏洞（CVE-2023-22602）
06-02
对于Spring Boot项目中的Apache Shiro身份认证绕过漏洞（CVE-2023-22602），可以通过以下步骤进行解决： 1.升级Apache Shiro到1.7.1或更高版本。可以在项目的Maven或Gradle依赖中更新Apache Shiro的版本。 2.检查...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值