ZKar

ZKar एक Java सीरियलाइज़ेशन प्रोटोकॉल विश्लेषण उपकरण है जिसे Go में लागू किया गया है। यह उपकरण अभी भी कार्य प्रगति पर है, इसलिए कोई पूर्ण API दस्तावेज़ और योगदान गाइड नहीं है।

ZKar प्रदान करता है:

• Java सीरियलाइज़ेशन पेलोड पार्सर और व्यूअर शुद्ध Go में, कोई CGO या JDK की आवश्यकता नहीं है
• Java सीरियलाइज़ेशन प्रोटोकॉल से Go स्ट्रक्ट में
• एक Go लाइब्रेरी जो Java सीरियलाइज़ेशन डेटा में हेरफेर कर सकती है
• WIP: ysoserial Go में लागू
• WIP: Java क्लास बाइटकोड्स पार्सर, व्यूअर और हेरफेर
• WIP: Go में RMI/LDAP का कार्यान्वयन

📦 स्थापित करना

ZKar का उपयोग करना आसान है। ZKar को लाइब्रेरी और उसकी निर्भरताओं के साथ स्थापित करने के लिए go get का उपयोग करें:

go get -u github.com/phith0n/zkar

इसके बाद, अपने एप्लिकेशन में github.com/phith0n/zkar/* का उपयोग करें:

package main

import (
  "fmt"
  "github.com/phith0n/zkar/serz"
  "log"
  "os"
)

func main() {
  fs, _ := os.Open("./testcases/ysoserial/CommonsCollections6.ser")
  defer fs.Close()
  serialization, err := serz.FromReader(fs)
  if err != nil {
    log.Fatal("parse error")
  }

  fmt.Println(serialization.ToString())
}

यहाँ एक उदाहरण है जो दिखाता है कि एक मौजूदा पेलोड को कैसे पढ़ा जाए और उसे UTF-8 ओवरलॉन्ग एन्कोडिंग पेलोड में संशोधित किया जाए।

💻 कमांड लाइन उपयोगिता उपकरण

ZKar एक कमांड लाइन उपयोगिता उपकरण भी प्रदान करता है जिसे आप सीधे उपयोग कर सकते हैं:

$ go run main.go
NAME:
   zkar - A Java serz tool

USAGE:
   main [global options] command [command options] [arguments...]

COMMANDS:
   generate  generate Java serz attack payloads
   dump      parse the Java serz streams and dump the struct
   help, h   Shows a list of commands or help for one command

GLOBAL OPTIONS:
   --help, -h  show help (default: false)

उदाहरण के लिए, आप ysoserial से पेलोड CommonsBeanutils3 को डंप कर सकते हैं जैसे:

$ go run main.go dump -f "$(pwd)/testcases/ysoserial/CommonsBeanutils3.ser"

🛠 परीक्षण

ZKar एक अच्छी तरह से परीक्षित उपकरण है जिसने सभी ysoserial द्वारा उत्पन्न गैजेट्स के पार्सिंग और पुनर्निर्माण परीक्षण पास कर लिए हैं। इसका मतलब है कि ysoserial द्वारा उत्पन्न गैजेट को ZKar द्वारा पार्स किया जा सकता है, और पार्स की गई स्ट्रक्ट को वापस बाइट स्ट्रिंग में बदला जा सकता है जो मूल के बराबर है।

नोट: JDK8u20 पेलोड को पार्स करने के लिए, आपको dump कमांड में --jdk8u20 फ़्लैग जोड़ना चाहिए। चूंकि पेलोड एक मान्य सीरियलाइज़्ड डेटा स्ट्रीम नहीं है, इसलिए इस फ़्लैग के माध्यम से ZKar को डेटा को पैच करने के लिए बताना आवश्यक है।

📝 TODO

• Java बाइटकोड्स पार्सर और जनरेटर
• JDK/JRE 8u20 गैजेट समर्थन
• सीरियलाइज़ेशन पेलोड जनरेटर
• Go में RMI/LDAP का कार्यान्वयन
• UTF-8 ओवरलॉन्ग एन्कोडिंग सुविधा को पढ़ने/लिखने का समर्थन

⚖️ लाइसेंस

ZKar MIT लाइसेंस के तहत जारी किया गया है। देखें LICENSE

👀 यह भी देखें

• SerializationDumper: Java सीरियलाइज़ेशन स्ट्रीम और Java RMI पैकेट सामग्री को अधिक मानव-पठनीय रूप में डंप और पुनर्निर्माण करने का एक उपकरण।
• ysoserial: असुरक्षित Java ऑब्जेक्ट डिसीरियलाइज़ेशन का शोषण करने वाले पेलोड उत्पन्न करने के लिए एक अवधारणा-प्रमाण उपकरण।
• Java-Deserialization-Cheat-Sheet: Java डिसीरियलाइज़ेशन कमजोरियों के बारे में चीट शीट।