ZKar

ZKar هي أداة تحليل لبروتوكول تسلسل Java مطبقة بلغة Go. هذه الأداة لا تزال قيد التطوير، لذا لا توجد وثائق API كاملة ودليل مساهمة.

تقدم ZKar:

• محلل وعارض لحمولات تسلسل Java بلغة Go خالصة، بدون الحاجة إلى CGO أو JDK
• تحويل من بروتوكول تسلسل Java إلى هيكل Go
• مكتبة Go يمكنها التعامل مع بيانات تسلسل Java
• قيد التطوير: تنفيذ ysoserial بلغة Go
• قيد التطوير: محلل بايت كود Java، عارض ومعالج
• قيد التطوير: تنفيذ RMI/LDAP بلغة Go

📦 التثبيت

استخدام ZKar سهل. استخدم go get لتثبيت ZKar مع المكتبة والتبعيات:

go get -u github.com/phith0n/zkar

ثم استخدم github.com/phith0n/zkar/* في تطبيقك:

package main

import (
  "fmt"
  "github.com/phith0n/zkar/serz"
  "log"
  "os"
)

func main() {
  fs, _ := os.Open("./testcases/ysoserial/CommonsCollections6.ser")
  defer fs.Close()
  serialization, err := serz.FromReader(fs)
  if err != nil {
    log.Fatal("parse error")
  }

  fmt.Println(serialization.ToString())
}

هنا مثال يوضح كيفية قراءة حمولة موجودة وتعديلها إلى حمولة بتشفير UTF-8 طويل.

💻 أداة سطر الأوامر

توفر ZKar أيضًا أداة سطر أوامر يمكنك استخدامها مباشرة:

$ go run main.go
NAME:
   zkar - A Java serz tool

USAGE:
   main [global options] command [command options] [arguments...]

COMMANDS:
   generate  generate Java serz attack payloads
   dump      parse the Java serz streams and dump the struct
   help, h   Shows a list of commands or help for one command

GLOBAL OPTIONS:
   --help, -h  show help (default: false)

على سبيل المثال، يمكنك تفريغ حمولة CommonsBeanutils3 من ysoserial كما يلي:

$ go run main.go dump -f "$(pwd)/testcases/ysoserial/CommonsBeanutils3.ser"

🛠 الاختبارات

ZKar هي أداة جيدة الاختبار تجاوزت جميع اختبارات تحليل وإعادة بناء الأدوات التي تم إنشاؤها بواسطة ysoserial. هذا يعني أنه يمكن تحليل الأدوات التي تم إنشاءها بواسطة ysoserial بواسطة ZKar، ويمكن تحويل الهياكل المحللة مرة أخرى إلى سلسلة بايت مساوية للأصلية.

ملاحظة: لتحليل حمولة JDK8u20، يجب إضافة العلامة --jdk8u20 إلى أمر dump. نظرًا لأن الحمولة ليست دفق بيانات متسلسل صالح، فمن الضروري إخبار ZKar بتصحيح البيانات من خلال هذه العلامة.

📝 قائمة المهام

• محلل ومولد بايت كود Java
• دعم أداة JDK/JRE 8u20
• مولد حمولات التسلسل
• تنفيذ RMI/LDAP بلغة Go
• دعم قراءة/كتابة ميزة UTF-8 طويل

⚖️ الترخيص

ZKar مرخصة بموجب رخصة MIT. انظر LICENSE

👀 انظر أيضًا

• SerializationDumper: أداة لتفريغ وإعادة بناء تدفقات تسلسل Java ومحتويات حزمة Java RMI بشكل قابل للقراءة البشرية.
• ysoserial: أداة إثبات مفهوم لإنشاء حمولات تستغل إلغاء التسلسل غير الآمن لكائنات Java.
• Java-Deserialization-Cheat-Sheet: ورقة غش حول ثغرات إلغاء التسلسل في Java.