[JavaWeb]Shiro漏洞集合——代码审计

Python微信订餐小程序课程视频

https://edu.csdn.net/course/detail/36074

Python实战量化交易理财系统

https://edu.csdn.net/course/detail/35475

Shiro漏洞集合

Shiro其实就是一组Filter，他会进行验证，鉴权，会话 Management，再把请求转到web过滤器。所以最好先去对Shiro有个整体性的了解。

复现环境：https://github.com/ttestoo/java-sec-study/tree/main/sec-shiro/java-shiro-bypass
全部的基于这个项目改下shiro的版本就好啦

全文是基于已知spring/tomcat的路径转发规则URI处理（漏洞），访问/x/s/==/x/s。有机会再去跟下tomcat的处理逻辑，这里一个问题很容易跑偏

Shiro682

这个漏洞感觉更像是springweb的漏洞，我也不知道为啥叫shiro的洞。请求路径为 /x/s/ ，正常情况下，不就应该是访问不到该文件嘛，我的shiro没匹配到也是很正常啊，结果spring直接允许 /x/s/===/x/s，导致了这个漏洞，最后还让shiro背锅。虽然说吧Shiro确实就是起防护的作用的，但我还是心不甘。。。

这里直接访问/admin/index是会重定向到/login的

但是访问/admin/index/后却会成功绕过验证

漏洞分析