ysoserial-modified

Il s'agit d'un fork de l'application ysoserial originale que vous trouverez ici : https://github.com/frohoff/ysoserial

Description de la modification

En raison du fonctionnement de Runtime.getRuntime().exec(String.class) en Java, les commandes imbriquées et complexes où vous avez besoin de contrôler les pipes ou d'envoyer la sortie vers des fichiers (ex : cat /etc/passwd > /tmp/passwd_copy) ne fonctionneront pas, car la commande exécutée par la méthode exec() de la classe Runtime n'est pas exécutée dans un environnement terminal. Un contournement possible est d'exécuter "/bin/sh -c 'command'" mais vous devrez échapper le caractère espace dans la 'command' en utilisant ${IFS} sinon cela ne fonctionnera pas comme prévu. Pour plus de détails sur ce problème et les contournements possibles, veuillez lire ce billet de blog qui approfondit les détails.

Une bonne solution pour résoudre ce problème est de passer les arguments à la méthode Runtime.getRuntime().exec(String[].class) qui attend un tableau de chaînes de caractères. La meilleure option est d'exécuter ce qui suit : Runtime.getRuntime().exec(new String[] {"/bin/sh", "-c", "command"}). En passant les arguments de cette manière, Java comprendra que vous exécutez /bin/bash en lui passant les arguments -c et 'command' de la bonne façon et exécutera votre commande dans un environnement terminal, ce qui vous permettra d'utiliser des commandes imbriquées ou complexes (avec | ou ;) et aussi de contrôler les entrées et sorties (avec < et >).