一款加强版图形界面shiro反序列化漏洞利用工具
shiro反序列化漏洞综合利用 v2.2
填坑,修bug。基于javafx,利用shiro反序列化漏洞进行回显命令执行以及注入各类内存马
自定义关键字
添加代理功能(设置->代理)
检出默认key (SimplePrincipalCollection) cbc/gcm
Tomcat/Springboot 回显命令执行
集成CommonsCollectionsK1/K2/NoCC
通过POST请求中defineClass字节码实现注入内存马
resources目录下shiro_keys.txt可扩展key
内存马
注入类型：冰蝎,哥斯拉,蚁剑[JSP 自定义返回包格式],neoreGeorg,reGeorg（均为默认配置,当前最新版本）
提示：注入Servlet内存马路径避免访问出错尽量选择静态资源目录。, Filter无需考虑
某些spring环境以jar包启动写shell麻烦
渗透中找目录很烦,经常出现各种写shell浪费时间问题
无落地文件舒服
主要参考哥斯拉以及As-Exploits兼容实现
TODO
解决serialVersionUID匹配cc/cb多种jar包
...
修复日志
2021.6.22
修复自定义参数无效
添加filter马
审核编辑 ：李倩
声明：本文内容及配图由入驻作者撰写或者入驻合作网站授权转载。文章观点仅代表作者本人，不代表电子发烧友网立场。文章及其配图仅供工程师学习之用，如有内容侵权或者其他违规问题，请联系本站处理。
举报投诉
-
漏洞
+关注
关注
0文章
193浏览量
15114 -
序列
+关注
关注
0文章
70浏览量
19452 -
Shell
+关注
关注
1文章
358浏览量
22902
原文标题：一款加强版图形界面shiro反序列化漏洞利用工具
文章出处：【微信号：菜鸟学信安，微信公众号：菜鸟学信安】欢迎添加关注！文章转载请注明出处。
发布评论请先 登录
相关推荐
图形界面开发工具GUI Guider的使用教程
GUI Guider是NXP推出的一款功能强大且对用户非常友好的图形界面开发工具。目前最新版本是1.6.1。
浅析闭源系统下的Evilparcel漏洞
Evilparcel漏洞可以导致Bundle在多次序列化和反序列化过程中内容发生改变。结合LAW跳板，可以实现权限提升，严重影响系统安全
发表于 11-16 14:43
•159次阅读
什么时候需要Boost序列化
程序开发中，序列化是经常需要用到的。像一些相对高级语言，比如JAVA, C#都已经很好的支持了序列化，那么C++呢？当然一个比较好的选择就是用Boost，这个号称C++准标准库的东西。 什么时候需要
Java序列化怎么使用
转换方式就叫做序列化。将文件或者网络传输中得到的 byte[] 数组转换为 java 对象就叫做反序列化。 怎么使用 如果一个 Java 对象要能被序列化，必须实现一个特殊
Spring Boot时配置JSON序列化选项的几种方法
在Spring Boot Web 项目中，当使用JSON格式接收数据和返回数据的时候，Spring Boot 默认使用一个ObjectMapper实例来序列化响应和反序列化请求。 在本文中，我们
如何用C语言进行json的序列化和反序列化
呢？ 当前，应用最广泛的C语言json解析库当属cJSON，但是，使用cJSON读json进行序列化和反序列化，需要根据key一个一个进行处理，会导致代码冗余，逻辑性不强，哪有没有更好的方法呢？ 思路 在Android平台，一般会使用gson等
如何使用Serde进行序列化和反序列化
Serde 是一个用于序列化和反序列化 Rust 数据结构的库。它支持 JSON、BSON、YAML 等多种格式，并且可以自定义序列化和反序列化方式。Serde 的特点是代码简洁、易于
STM32+TouchGFX方案—助你快速创建出色的图形界面
与STM32CubeMX配置工具及初始化代码生成器协同操作，为无缝开发GUI和主应用程序创建一个统一的项目环境。为了帮助图形设计项目顺利运行
发表于 09-20 06:32
ROS中的序列化实现
理解了序列化，再回到ROS。我们发现，ROS没有采用第三方的序列化工具，而是选择自己实现，代码在roscpp_core项目下的roscpp_serialization中，见下图。这个功能涉及的代码
什么是序列化 为什么要序列化
什么是序列化？ “序列化”（Serialization ）的意思是将一个对象转化为字节流。 这里说的对象可以理解为“面向对象”里的那个对象，具体的就是存储在内存中的对象数据。 与之相反的过程是“反序列化
Weblogic上的shiro漏洞利用工具介绍
日常项目中，可能会碰见部署在weblogic上的shiro，所以先写了这个生成攻击payload的小Demo，方便后面使用。但目前只支持无回显命令执行，后续回显、内存马功能后面出差后再写。
通过linux跑一个ubuntu的带图形界面的系统
一直想通过linux平台跑一个类似于ubuntu的带图形界面的系统，于是买了一块linux开发板，最终只是能跑个linux系统，没有把图形加进去，后来就没有再去深入研究了，最近终于有一点时间来研究一下了。
发表于 07-21 14:29
•528次阅读
Python上位机软件图形界面实战——PyQt
文章目录 引言 1 环境配置 2 新建一个软件窗口 3 QtDesigner的配置 4 配置pyuic 总结
今天开始用python实战利用qt5开发软件图形界面，今天只是写一个简单的窗口
发表于 05-29 16:55
•0次下载
如何用PyQt5做图形界面（一）
PyQt是Python版本的Qt库，是最常用的跨平台图形界面编程框架之一。代码不用修改，就能同时运行在windows、linux、ios、andriod等平台。因此，对芯片设计行业来说，既可以
工商网监
评论