Skip to content
KitploitKITPLOIT
FerramentasExploitsBlog
Log in
Enviar
FerramentasExploitsBlog
Enviar

Ferramentas de Hacking, PenTest e Cibersegurança para o seu Arsenal de Segurança!

Kitploit é um diretório de ferramentas de hacking, cibersegurança e pentesting. Descubra as últimas atualizações de projetos para encontrar vulnerabilidades, analisar sistemas, automatizar testes e fortalecer sua segurança.

FeedsContatoPrivacidade© 2026 Kitploit

Diretório de Ferramentas

Categorias

Ver todas as categorias
Loading categories
CVE-2017-7525-Jackson-Deserialization-Lab — Laboratório Inseguro de Desserialização Java | Kitploit
Ferramentas/GitHubGitHub/ingenuity-fainting-goats/cve-2017-7525-jackson-deserialization-lab
Análise de VulnerabilidadesExploraçãoExploração de Aplicações WebAprendizado e EducaçãoExploração de BináriosLabs e Prática
GitHubingenuity-fainting-goats/cve-2017-7525-jackson-deserialization-lab

CVE-2017-7525-Jackson-Deserialization-Lab

Laboratório Inseguro de Desserialização Java

Ver Repositório
6119há 2 anosAinda não revisado

Mais Populares

Ver todos →

Descubra as ferramentas mais usadas pela nossa comunidade.

Explore todas as ferramentas

Navegue pela nossa coleção de ferramentas

Ver todas as ferramentas →
Compartilhar

Laboratório de Desserialização Insegura em Java CVE-2017-7525

Aplicação REST Java básica vulnerável a Desserialização Insegura, levando a RCE.

O projeto deve ser executado em Java < 8u45

Baseado em Maven com as seguintes dependências:

  • jackson-databind 2.2.2
  • commons-collections 3.1
  • spring-context-support 4.3.11

Mais dependências podem ser adicionadas através do Maven se quiser testar mais gadgets.

Executando

Abra (recomendado com Intellij Idea) e execute a classe Java em src/main/java/com/deserialization/lab/Main.java.

Em seguida, navegue para http://localhost:9091/api/

APIs Expostas

  • GET /api/message : retorna um objeto serializado útil para construir um payload
  • POST /api/message : Aceita um payload, desserializa-o e reflete a instância gerada como resposta

CVEs

A aplicação é realmente vulnerável a quase todos os Jackson Databind CVEs.

Referências

ysoserial
Explorando o Jackson RCE: CVE-2017-7525
Folha de Dicas de Desserialização Java
Marshalsec PDF

Downloads do JDK

Arquivo JDK 8
JDK 8u11 Linux x64

Autores

alp4ca
rhpco

check

Baixar ferramenta