文章总结： 本文记录了一次针对某大学教师发展系统的渗透测试实战。核心是利用Tomcat对分号规范化处理与过滤器白名单前缀匹配的顺序缺陷，通过构造特殊路径绕过全局认证过滤器进入后台，随后发现前台SQL注入点，并利用不依赖子查询的布尔盲注手法成功注出数据库信息。文章提供了详细的技术思路与绕过方法，对实战渗透测试具有参考价值。 综合评分： 85 文章分类： 渗透测试,红队,WEB安全,漏洞分析,实战经验

一个”..;”撬动全站——记一次Tomcat 分号规范化绕过认证过滤器

zkaq-石英 zkaq-石英

掌控安全EDU

2026年9月11日 12:00 江西

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

扫码领资料

获网安教程

本文由掌控安全学院 – 石英 投稿

来Track安全社区投稿~

千元稿费！还有保底奖励~（  https://bbs.zkaq.cn   ）****

一、侦察

某大学教师发展系统，依旧开局一个登录框

    看起来基本就是若依改，所以自然就是常规的弱口令、路径探测，但是事情自然是没那么容易的，因为系统存在全局认证过滤器。

    全局认证过滤器把所有未匹配路径 302 → /redirect.jsp（含不存在路径、Tomcat 原生 manager/status/druid/actuator 共 12 条探测路径全部同响应，无差异化信息）。响应面极干净，任何路径探测都拿不到东西，那么打法必须转向”过滤器本身”。

二、正文

过滤器绕过：8 变体序列，7 负 1 正

    总共试了以上常规的八种，好在是过了一个，嗯，狗运还在。

然后针对 js 中找到接口测试了一下

200 {“msg”:”用户不存在”,”success”:false}    ← 服务端真的处理了请求

**根因**：过滤器白名单含 /我是路径/ 前缀；过滤器按**原始 URI** 前缀匹配放行，Tomcat 路由时把 ..; 规范化为上级目录 → 实际到达受保护 servlet。**”先匹配、后规范化”的顺序缺陷**。

也是成功进入后台了。

三、前台SQL注入

虽然已经进入后台了，但是既然绕过了认证过滤器，自然要试试有没有前台注入，狗运时刻又发力了，还真有，不过也是没那么简单。

大概有两点，第一，有缓存过滤器，相同的 SQL 短时间内不会执行第二次，第二，select 被禁了

整体的测试流程如下。

这里有三个关键认知：①”无效值”和”布尔假”都落在**空集态**（TBL\_NOTEXIST\_9 与 AND '1'='2 同响应），而”报错”单独一类——三态分离证明响应差异来自 SQL 执行结果而非前端固定文案；②布尔位 = 空集态(0) vs 数据态(1)；③错误态是”payload 是否真的执行了”的探针

绕过

布尔盲注的注入位在 WHERE，被拦的是”子查询表达式“这个语法形态，不是”所有函数”。Oracle WHERE 里不依赖子查询的判定积木全是单 token 函数/伪列/字面量——不出现 (SELECT、不需要 FROM、不触碰 UNION：

‘ AND SUBSTR(USER,1,1)=’E’ AND ‘a’=’a 响应正常为真

‘ AND SUBSTR(USER,1,1)=’e’ AND ‘a’=’a 响应不正常为假

所以这样就能成功注出库名证明危害了。

申明：本公众号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，

所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法.

没看够~？欢迎关注！

分享本文到朋友圈，可以凭截图找老师领取

上千教程+工具+交流群+靶场账号哦

分享后扫码加我！

回顾往期内容

网络安全人员必考的几本证书！

文库｜内网神器cs4.0使用说明书

重生HW之感谢客服小姐姐带我进入内网遨游

手把手教你CNVD漏洞挖掘 + 资产收集

【精选】SRC快速入门+上分小秘籍+实战指南

代理池工具撰写 | 只有无尽的跳转，没有封禁的IP！

点赞+在看支持一下吧~感谢看官老爷~

你的点赞是我更新的动力

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：掌控安全EDU zkaq-石英 zkaq-石英《一个”..;”撬动全站——记一次Tomcat 分号规范化绕过认证过滤器》