（CVE-2020-13933）Apache Shiro _ 1.6.0 身份认证绕过漏洞

（CVE-2020-13933）Apache Shiro \< 1.6.0 身份认证绕过漏洞 ======================================================== 一、漏洞简介 ------------ 2020年8月18日，Apache Shiro官方发布安全通告 Apache Shiro身份验证绕过漏洞（CVE-2020-13933），经过分析，攻击者可以通过构造特殊的HTTP请求实现身份验证绕过。 二、漏洞影响 ------------ Apache Shiro \< 1.6.0 三、复现过程 ------------ ### 漏洞分析 根据shiro历史上的认证绕过漏洞，本质问题就是springboot对url的处理和shiro的处理不一致导致的认证绕过。其中shiro的url处理的问题都出在`org/apache/shiro/web/util/WebUtils.java`类下面，在return public static String getPathWithinApplication(HttpServletRequest request) { return normalize(removeSemicolon(getServletPath(request) + getPathInfo(request))); } 断点，然后我们去springboot的处理url的地方进行断点，`org/springframework/web/util/UrlPathHelper.java`。 在return uri；进行 private String decodeAndCleanUriString(HttpServletRequest request, String uri) { uri = removeSemicolonContent(uri); uri = decodeRequestString(request, uri); uri = getSanitizedPath(uri); return uri; } 断点。 访问/test/%3bname，先来到shiro的url处理块， 1.jpg 根据图纸可知，获取到的url在处理前已经进行了一次urldecode。然后在进入`removeSemicolon`操作，最后结果集在交给`normalize`操作。 根据计算器可知removeSemicolon会把url里;后面的内容给删除(包括;) 2.jpg 跟进removeSemicolon看看。 实现代码如下: private static String removeSemicolon(String uri) { int semicolonIndex = uri.indexOf(';'); return (semicolonIndex != -1 ? uri.substring(0, semicolonIndex) : uri); } 确实是把;后面的内容给删除(包括;)了。 一路F8，最后果然把/test/赋值给requestURI变量了。 3.jpg 根据测试当初访问/test/ 4.jpg 可以看到，如果test目录的话，是默认有权限访问的，但是/test/后面的路由是需要验证的。 5.jpg 接着我们来到springboot，看看springboot是怎么处理URL的问题。 6.jpg uri取到的是`/test/;name`，可以看到springboot对url做了三个操作后才返回的，`removeSemicolonContent`,`decodeRequestString`,`getSanitizedPath`。 - removeSemicolonContent 是把（url未解码前的uri里的;后面的内容给删除） - decodeRequestString把uri进行urldecode编码 - getSanitizedPath 是把"//" 替换成 "/" 这是简单对比下shiro的对url的操作顺序: - uri 进行urldecode - uri 删除;后面的内容，包括; 因为shiro的处理和springboot的处理顺序不同，导致我们构造的poc在shiro侧理解的是访问的/test/，/test/我们本身就没有限制权限，放过了这个原本需要认证权限的请求，而springboot侧则是访问的是/test/;name，然后springboot把;name当做一个字符串去寻找对应的路由，返回了对应的字符串。 ### 漏洞复现 > 正常请求如下所示

7.jpg

8.jpg

> 构造恶意请求`test/%3b`{name}

9.jpg

参考链接
——–

> https://www.anquanke.com/post/id/214964\#h2-2