CEV-2018-11759訪問控制繞過原理和復現（實戰）

原理： Apache Web服務器(httpd)特定的代碼在將請求的路徑與Apache Tomcat JK (mod_jk)連接器1.2.0到1.2.44中的URI-工作器映射進行匹配之前對其進行了規範化，但沒有正確處理某些邊緣情況。如果只有Tomcat支持的網址子集通過httpd公開，那麼一個特殊構造的請求就有可能通過反向代理公開應用程序的功能，而該反向代理不是爲通過反向代理訪問應用程序的客戶端

>>阅读原文<<