当前位置：首页>java>一次JAVA代码审计经典的鉴权绕过审计

一次JAVA代码审计经典的鉴权绕过审计

2026-08-20 17:10:06

一次JAVA代码审计经典的鉴权绕过审计

免责申明

本文章仅用于信息安全防御技术分享，因用于其他用途而产生不良后果,作者不承担任何法律责任，请严格遵循中华人民共和国相关法律法规，禁止做一切违法犯罪行为。

最近跟着小朋友老师在学JAVA代码审计，复现了一个鉴权绕过漏洞，并且记录了一下，给尊师投一个稿。

二、鉴权分析

这种架构，先查看对应的WEB-INF文件夹。

进行全局搜索/*图中有点像是鉴权文件。

这里可以看到进行拦截器全部的路由并且进行判断session等相关的信息，进行权限的划分。

三、鉴权绕过

这里进行查看session相关的拦截器。

这里可以看到获取URL的方法是存在问题的，该方法在配合Tomcat中间件时候可以通过特殊字符进行绕过对应鉴权。

但是这种绕过鉴权的方式还要进行判断对应的白名单信息。

可以看到找了是进行方形的白名单信息，这里进行判断URL是否包含这些路径，如果包含的话，就直接进行放行。

成功绕过，相关细节大家可以看下Tomcat下getRequestURI缺陷等信息。

广告区域

目前第四期进阶课程已经开始，课表如下：

同时报名第四期基础课程同样可看，课表如下：

同时具备内部资料以及靶场相关福利，想要了解的师傅可以冲了。

本文来自网友投稿或网络内容，如有侵犯您的权益请联系我们删除，联系邮箱：596563534@qq.com 。

最新文章

随机文章