ShiroScan

Shiro<=1.2.4-Deserialisierung, Ein-Klick-Erkennungstool

Änderungen: 1. 4 neue Gadget-Chain-Module hinzugefügt (CommonsCollections7-10), erwartete Steigerung der Erfolgsrate um 30 %, bereits als neues ysoserial-JAR-Paket gepackt, bitte nicht ersetzen
Änderungen: 2. Multithreading hinzugefügt; trotz zusätzlicher Module ist die Geschwindigkeit um 300 % höher

Integriert 21 Keys zum Fuzzing

• Wenn es hilfreich ist, gib mir bitte einen Star. Zugehöriger Blog-Artikel: http://www.svenbeast.com/post/tskRKJIPg/

• pip3 install -r requirments.txt

• Verwendung: python3 shiro.py url command

• Verwendung: python3 shiro.py https://url.com whoami

• http://www.dnslog.cn/ Zur Verifizierung wird diese dnslog-Plattform empfohlen, sie ist viel schneller als ceye.io

• Befehle mit Leerzeichen bitte in "" setzen

• Verwendung: python3 shiro.py http://url.com "ping dnslog.cn"

• Alle 11 Module durchlaufen lassen und dann auf der dnslog-Plattform prüfen, ob eine Anfrage empfangen wurde. Kommt nichts an, ist es GG – möglicherweise sind auch einfach nicht genug Encodings vorhanden

• Bitte sammle selbst Encodings; füge im Quellcode unter moule einfach eigene Methoden hinzu

• Damit das Skript einfach bleibt, wird die Anzahl der Threads nicht per Benutzerparameter gesteuert; standardmäßig 20 Threads. Zum Ändern passe bitte den Parameter zur Thread-Steuerung in Zeile 20 von /moule/main.py selbst an

Nicht als Exp empfohlen – Effizienzproblem

Nur zur Verifizierung durch Sicherheitspersonal, ob diese Schwachstelle vorhanden ist