Apache Shiro 身份验证绕过漏洞复现(CVE-2020-13933)

漏洞描述：

Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码和会话管理。

之前Apache Shiro身份验证绕过漏洞CVE-2020-11989的修复补丁存在缺陷，在1.5.3及其之前的版本，由于shiro在处理url时与spring仍然存在差异，依然存在身份校验绕过漏洞由于处理身份验证请求时出错，远程攻击者可以发送特制的HTTP请求，绕过身份验证过程并获得对应用程序的未授权访问。

复现过程：

1.访问IP：port

2.不在请求中指定资源名称时，不去触发身份验证，也没有任何资源返回

3.访问身份验证页面，在请求中指定资源名称时，302 跳转到身份验证页面：

4.构造特定 PoC 请求指定资源时，不触发身份验证，并绕过权限

/admin/%3bxxx

修复建议：

目前官方已发布漏洞修复版本，更新 Apache Shiro >= 1.6.0