ZKar

ZKar est un outil d'analyse du protocole de sérialisation Java implémenté en Go. Cet outil est encore en cours de développement, il n'y a donc pas de documentation API complète ni de guide de contribution.

ZKar fournit :

• Un analyseur et visualiseur de charges utiles de sérialisation Java en Go pur, sans nécessiter CGO ni JDK
• Du protocole de sérialisation Java vers une structure Go
• Une bibliothèque Go capable de manipuler les données de sérialisation Java
• WIP : implémentation de ysoserial en Go
• WIP : analyseur, visualiseur et manipulation des bytecodes de classes Java
• WIP : une implémentation de RMI/LDAP en Go

📦 Installation

Utiliser ZKar est simple. Utilisez go get pour installer ZKar ainsi que sa bibliothèque et ses dépendances :

go get -u github.com/phith0n/zkar

Ensuite, utilisez github.com/phith0n/zkar/* dans votre application :

package main

import (
  "fmt"
  "github.com/phith0n/zkar/serz"
  "log"
  "os"
)

func main() {
  fs, _ := os.Open("./testcases/ysoserial/CommonsCollections6.ser")
  defer fs.Close()
  serialization, err := serz.FromReader(fs)
  if err != nil {
    log.Fatal("parse error")
  }

  fmt.Println(serialization.ToString())
}

Voici un exemple montrant comment lire une charge utile existante et la modifier en une charge utile encodée UTF-8 surlongue.

💻 Outil en ligne de commande

ZKar fournit également un outil en ligne de commande que vous pouvez utiliser directement :

$ go run main.go
NAME:
   zkar - A Java serz tool

USAGE:
   main [global options] command [command options] [arguments...]

COMMANDS:
   generate  generate Java serz attack payloads
   dump      parse the Java serz streams and dump the struct
   help, h   Shows a list of commands or help for one command

GLOBAL OPTIONS:
   --help, -h  show help (default: false)

Par exemple, vous pouvez vider la charge utile CommonsBeanutils3 de ysoserial comme ceci :

$ go run main.go dump -f "$(pwd)/testcases/ysoserial/CommonsBeanutils3.ser"

🛠 Tests

ZKar est un outil bien testé qui a passé tous les tests d'analyse et de reconstruction des gadgets générés par ysoserial. Cela signifie que les gadgets générés par ysoserial peuvent être analysés par ZKar, et les structures analysées peuvent être reconverties en chaîne d'octets identique à l'originale.

Remarque : Pour analyser la charge utile JDK8u20, vous devez ajouter l'option --jdk8u20 à la commande dump. Comme cette charge utile n'est pas un flux de données sérialisé valide, il est nécessaire d'indiquer à ZKar d'appliquer les correctifs via cette option.

📝 À faire

• Analyseur et générateur de bytecodes Java
• Support du gadget JDK/JRE 8u20
• Générateur de charges utiles de sérialisation
• Une implémentation de RMI/LDAP en Go
• Support de la fonctionnalité de lecture/écriture d'encodage UTF-8 surlongue

⚖️ Licence

ZKar est distribué sous la licence MIT. Voir LICENSE

👀 Voir aussi

• SerializationDumper : Un outil pour vider et reconstruire les flux de sérialisation Java et le contenu des paquets Java RMI sous une forme plus lisible.
• ysoserial : Un outil de preuve de concept pour générer des charges utiles exploitant la désérialisation non sécurisée d'objets Java.
• Java-Deserialization-Cheat-Sheet : L'aide-mémoire sur les vulnérabilités de désérialisation Java.