漏洞简介

在Apache Shiro 1.5.2以前的版本中，在使用Spring动态控制器时，攻击者通过构造…;这样的跳转，可以绕过Shiro中对目录的权限限制。

漏洞复现

直接请求管理页面http://your_ip:8080/admin/，无法访问，将会被重定向到登录页面，但是恶意构造/xxx/..;/admin/即可绕过检验访问到管理界面：