ZKar

ZKar è uno strumento di analisi del protocollo di serializzazione Java implementato in Go. Questo strumento è ancora work in progress, quindi non esiste una documentazione API completa né una guida ai contributi.

ZKar fornisce:

• Un parser e visualizzatore di payload di serializzazione Java in Go puro, senza bisogno di CGO o JDK
• Dal protocollo di serializzazione Java a una struct Go
• Una libreria Go in grado di manipolare i dati di serializzazione Java
• WIP: Implementazione di ysoserial in Go
• WIP: Parser, visualizzatore e manipolazione di bytecode Java
• WIP: Un'implementazione di RMI/LDAP in Go

📦 Installazione

Usare ZKar è facile. Usa go get per installare ZKar insieme alla libreria e alle sue dipendenze:

go get -u github.com/phith0n/zkar

Successivamente, usa github.com/phith0n/zkar/* nella tua applicazione:

package main

import (
  "fmt"
  "github.com/phith0n/zkar/serz"
  "log"
  "os"
)

func main() {
  fs, _ := os.Open("./testcases/ysoserial/CommonsCollections6.ser")
  defer fs.Close()
  serialization, err := serz.FromReader(fs)
  if err != nil {
    log.Fatal("parse error")
  }

  fmt.Println(serialization.ToString())
}

Qui c'è un esempio che mostra come leggere un payload esistente e modificarlo in un payload con codifica UTF-8 overlong.

💻 Strumento da riga di comando

ZKar fornisce anche uno strumento da riga di comando che puoi usare direttamente:

$ go run main.go
NAME:
   zkar - A Java serz tool

USAGE:
   main [global options] command [command options] [arguments...]

COMMANDS:
   generate  generate Java serz attack payloads
   dump      parse the Java serz streams and dump the struct
   help, h   Shows a list of commands or help for one command

GLOBAL OPTIONS:
   --help, -h  show help (default: false)

Ad esempio, puoi dumpare il payload CommonsBeanutils3 da ysoserial in questo modo:

$ go run main.go dump -f "$(pwd)/testcases/ysoserial/CommonsBeanutils3.ser"

🛠 Test

ZKar è uno strumento ben testato che ha superato tutti i test di parsing e ricostruzione dei gadget generati da ysoserial. Ciò significa che i gadget generati da ysoserial possono essere analizzati da ZKar, e le strutture analizzate possono essere riconvertite in stringhe di byte uguali a quelle originali.

Nota: Per analizzare il payload JDK8u20, è necessario aggiungere il flag --jdk8u20 al comando dump. Poiché il payload non è un flusso di dati serializzato valido, è necessario informare ZKar di applicare le correzioni ai dati tramite questo flag.

📝 TODO

• Parser e generatore di bytecode Java
• Supporto per gadget JDK/JRE 8u20
• Generatore di payload di serializzazione
• Un'implementazione di RMI/LDAP in Go
• Supporto per la funzionalità di lettura/scrittura con codifica UTF-8 overlong

⚖️ Licenza

ZKar è rilasciato sotto licenza MIT. Vedi LICENSE

👀 Vedi anche

• SerializationDumper: Uno strumento per dumpare e ricostruire flussi di serializzazione Java e contenuti di pacchetti RMI Java in una forma più leggibile.
• ysoserial: Uno strumento proof-of-concept per generare payload che sfruttano la deserializzazione non sicura di oggetti Java.
• Java-Deserialization-Cheat-Sheet: Un cheat sheet sulle vulnerabilità di deserializzazione Java.