0x00 前言
在之前只是单纯的复现了漏洞，没有记笔记，所以补充了这篇分析笔记。
影响版本：shiro < 1.5.2
0x01 环境搭建
环境用的是：https://github.com/lenve/javaboy-code-samples/tree/master/shiro/shiro-basic
0x02 漏洞复现
CVE-2020-1957 漏洞 主要是权限绕过的问题，spring和shiro对路由的识别不一致，所以就导致了绕过的问题。 主要是两种绕过方式，一种是/a/1/，一种是/xxx/…;/
1. /绕过
首先是直接访问权限校验的接口
通过 /绕过
2. /xx/…;绕过
首先是直接访问权限校验的接口
通过/xx/…;绕过
0x03 漏洞分析
1、/绕过分析
1.1 shiro部分
先来简单的看一下shiro的原理：
每一次的请求都会从AbstractShiroFilter中走。进入到doFilterInternal进行后续处理。
主要是做了两件事情：
- 创建Subject
- 线程绑定execute
我们主要关心的是executeChain
1.1.1 executeChain
executeChain将请求分发给合适的过滤器
默认是 org.apache.shiro.web.filter.mgt.PathMatchingFilterChainResolver 类型
获取当前请求路径
进入循环进行对比，跟到doMatch
在这里进行路径匹配对比，就是和在配置里的内容进行对比
因为匹配规则的问题，shiro会认为/a/1和/a/1/是两个内容，所以，/a/1/不需要校验，所以就放行了。
# 1.2.spring原理
在spring中会忽略/将之前的内容当做参数，所以在sping处理/a/1/的时候会认为请求的是/a/1所以就请求到了权限校验的部分。
1.3 总结
也就是说，shiro认为/a/1/是一个不需要授权就可以访问的接口，但是spring认为/a/1/访问的是/a/1需要授权的接口，spring认为shiro是安全的，所以直接放行了。
2. /xx/…;绕过分析
2.1 shiro
在 shiro中，当拿到url为/xx/…;/aaa/的时候，会认为访问的是/xx/…，然后再拿着/xx/…在需要进行权限判断的地方找，发现/xx/…不需要权限校验，则放行，交由spring进行处理。
断点下在：
shiro-web-1.4.2.jar!\org\apache\shiro\web\filter\mgt\PathMatchingFilterChainResolver.class#getChain
慢慢跟，慢慢分析，急不得。
2.2 Spring
在Spring中会对输入的url进行处理，首先需要处理的是/xx/…;/aaa/1，先通过removeSemicolonContent去掉；符号
那么去除之后就是/xx/…/aaa/1，其实不看源码，也知道这样子的url最终会变成/aaa/1
那么spring最终还是会访问到/aaa/1，绕过了权限限制。
断点下在：
spring-web-5.1.7.RELEASE.jar!\org\springframework\web\util\UrlPathHelper.class#getLookupPathForRequest
0x04 修复方式
在1.52版本中，在代码中删除了最后的/
处理了/xx/…;/的情况
以上
