36-2 shiro越权 - shiro越权介绍

本文主要是介绍36-2 shiro越权 - shiro越权介绍，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

一、Apache Shiro 简介

        Apache Shiro 是一个强大且易用的 Java 安全框架，负责执行身份验证、授权、密码和会话管理。无论是最小的移动应用程序还是最大的网络和企业应用程序，都可以通过使用 Shiro 的 API 快速、轻松地实现安全功能。

二、Shiro权限绕过原因

Apache Shiro 是 Java 的安全管理框架，可与 Spring 框架一起使用。它通过拦截器来控制和拦截用户对资源的访问。常见的拦截器包括：

1. anon：匿名拦截器，用于允许未登录用户访问静态资源或移动端接口。
2. authc：登录拦截器，要求用户登录认证后才能访问的资源。

三、Shiro权限绕过的限制条件：

• 网站同时使用 Shiro 和 Spring 框架。
• Shiro 版本必须满足特定的要求。

四、CVE-2016-6802

CVE-2016-6802是一个影响shiro安全框架的安全漏洞，特别是在shiro版本小于1.5.0的情况下。这个漏洞涉及shiro与spring的URI中末尾的斜杠（/）导致的权限绕过问题。

问题的关键在于shiro中的URL路径匹配机制。在shiro中，/*通配符可以匹配零个或多个字符串，而/-只能匹配到路径的最后一个部分。

具体来说，考虑这样的情况：

1. /admin - 由于/*可以匹配零个或多个字符串，可以匹配到

这篇关于36-2 shiro越权 - shiro越权介绍的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！

---