ZKar

ZKar は Go で実装された Java シリアライゼーションプロトコル解析ツールです。このツールは現在 開発中 であり、完全な API ドキュメントやコントリビューションガイドはまだ用意されていません。

ZKar が提供する機能:

• Java シリアライゼーションペイロードのパーサーとビューワー（純粋な Go 実装、CGO や JDK は不要）
• Java シリアライゼーションプロトコルを Go 構造体に変換
• Java シリアライゼーションデータを操作できる Go ライブラリ
• WIP: ysoserial の Go 実装
• WIP: Java クラスバイトコードのパーサー、ビューワー、操作
• WIP: Go による RMI/LDAP の実装

📦 インストール

ZKar の使用は簡単です。go get を使って ZKar とそのライブラリ、依存関係をインストールします:

go get -u github.com/phith0n/zkar

次に、アプリケーション内で github.com/phith0n/zkar/* を使用します:

package main

import (
  "fmt"
  "github.com/phith0n/zkar/serz"
  "log"
  "os"
)

func main() {
  fs, _ := os.Open("./testcases/ysoserial/CommonsCollections6.ser")
  defer fs.Close()
  serialization, err := serz.FromReader(fs)
  if err != nil {
    log.Fatal("parse error")
  }

  fmt.Println(serialization.ToString())
}

こちら に、既存のペイロードを読み取り、UTF-8 overlong エンコーディングのペイロードに変更する例があります。

💻 コマンドラインユーティリティツール

ZKar は直接使用できるコマンドラインユーティリティツールも提供します:

$ go run main.go
NAME:
   zkar - A Java serz tool

USAGE:
   main [global options] command [command options] [arguments...]

COMMANDS:
   generate  generate Java serz attack payloads
   dump      parse the Java serz streams and dump the struct
   help, h   Shows a list of commands or help for one command

GLOBAL OPTIONS:
   --help, -h  show help (default: false)

例えば、ysoserial のペイロード CommonsBeanutils3 をダンプするには次のようにします:

$ go run main.go dump -f "$(pwd)/testcases/ysoserial/CommonsBeanutils3.ser"

🛠 テスト

ZKar は十分にテストされたツールであり、ysoserial が生成するすべてのガジェットの解析と再構築テストに合格しています。つまり、ysoserial によって生成されたガジェットは ZKar で解析でき、解析された構造体は元のものと等しいバイト文字列に変換できます。

注意: JDK8u20 ペイロードを解析するには、dump コマンドに --jdk8u20 フラグを追加してください。このペイロードは有効なシリアライズデータストリームではないため、このフラグによって ZKar にデータのパッチを適用するよう指示する必要があります。

📝 TODO

• Java バイトコードのパーサーとジェネレーター
• JDK/JRE 8u20 ガジェットのサポート
• シリアライゼーションペイロードのジェネレーター
• Go による RMI/LDAP の実装
• UTF-8 overlong エンコーディング機能の読み取り/書き込みサポート

⚖️ ライセンス

ZKar は MIT ライセンスの下でリリースされています。詳細は LICENSE を参照してください。

👀 関連情報

• SerializationDumper: Java シリアライゼーションストリームと Java RMI パケットの内容を、より人間が読みやすい形式でダンプおよび再構築するツール。
• ysoserial: 安全でない Java オブジェクトデシリアライゼーションを悪用するペイロードを生成するための概念実証ツール。
• Java-Deserialization-Cheat-Sheet: Java デシリアライゼーションの脆弱性に関するチートシート。