shiro反序列化进攻综合利用
项目基于javafx,利用shiro反序列化扩展进行回显命令执行以及注入类别内存马
检出唯一密钥(SimplePrincipalCollection)cbc / gcm
Tomcat / Springboot回显命令执行
集成公用集合K1 / K2
通过POST请求中defineClass字节码实现注入内存马(Servlet实现参考哥斯拉内存马)
resources目录下shiro_keys.txt可扩展键
关于内存马
某些spring环境以jar包启动写shell麻烦
渗透中找目录很烦,经常出现各种写壳浪费时间问题
无落地文件舒服
错误修复
2020.11.08
高低版本base64库不一致,当前使用org.apache.shiro.codec.Base64避免此问题
2020.11.10
修复注入内存马都显示注入成功的错误。
2020.11.23
2021-06-21 14:17:49
807KB
Java
1