摘星怪sec的blog

CVE-2020-1957漏洞利用了Apache Shiro和Spring Boot对URL处理的差异性，攻击者可以构造特定的URL，绕过Shiro对Spring Boot中Servlet的权限控制，实现未授权的越权访问。Apache Log4j2的某些版本中，攻击者可通过JNDI注入执行远程代码。这通常涉及到恶意的日志消息，允许攻击者访问服务器上的资源。，将其忽略或错误处理为/admin/，Shiro的路径检查就会失效，允许未经授权的访问。-c是执行的bash命令，-A是指JNDI服务器IP。