本文分析银行CTF比赛中的Shiro反序列化题目，涉及CVE-2020-13933权限绕过漏洞和反序列化点。通过构造恶意Cookie触发LogHandler类的toString方法执行命令，详细介绍了黑盒测试、代码审计、Payload构造过程，并补充了Shiro相关知识，最终成功利用漏洞。

本文讨论了银行CTF比赛中的shiro反序列化题目，分析了权限绕过和反序列化漏洞。通过黑盒和白盒测试，发现shiro版本存在CVE-2020-13933漏洞。深入分析源码，确认反序列化点和命令执行漏洞，并成功构造payload执行命令。总结了shiro的知识和反序列化链的构建过程。