java反序列化漏洞检测工具集 支持 jboss weblogic Websphere
本工具仅为方便管理员发现和展示漏洞的危害性，请勿用于非法用途
2022-02-15 12:41:50
40.5MB
1
项目介绍
基于Apache Shiro反序列化漏洞进行利用链的探测，附内存马。
利用时需要修改POST请求两处数据，分别为Header头RememberMe字段值和携带的data数据（由于payload设定，data中须指定名字为c的参数值）。
探测到利用链后，根据提示，将屏幕输出的payload粘贴至POST请求Header头RememberMe字段处，至于data携带的数据，自行决策，本文文末附内存马，可直接粘贴至data中使用，或自行生成指定命令的字节码片段替换。
与项目相关文章首发于：
Shiro exp使用手册
Shiro rememberMe反序列化漏洞
漏洞原理
Apache Shiro框架提供了记住密码的功能（RememberMe），用户登录成功后会生成经过加密并编码的cookie，服务端对rememberMe的cookie值先base64解码然后AES解密再反序列化，就导
2021-11-14 00:23:51
1.02MB
1
ysoserial反序列化漏洞的检查工具 ysoserial-v0.0.5.jar 非常好用
2021-10-14 11:00:21
48.32MB
1
使用注意： 1. WebLogic反弹需要等5秒左右 2. 该工具为对外测试版，请尽量按照正常思路来用，比如Url填写清楚，IP地址写对了，报错或者抛异常神马的别怪我，调输入校验好蛋疼。 本工具与网上已公布工具优点： 1. 综合实现网上公布的代码执行、反弹 2. jboss利用里添加一键getshell功能，利用的是jboss的热部署功能，直接部署一个war包，一键返回一个菜刀shell 3. 反弹shell部分更完美，不再加载远程war包，直接发包完成反弹。 4. jboss回显执行命令部分利用异常抛出机制，本地（4.2.3.GA）测试成功，其他版本请自测 5. 体积更小，不再依赖java环境，但程序采用.net编写，需要.net 4.0环境 待完成： we blogic回显结果测试中，稍后加入
2021-10-11 11:09:30
31KB
1