ZKar

ZKar é uma ferramenta de análise de protocolo de serialização Java implementada em Go. Esta ferramenta ainda está em desenvolvimento, portanto não há documentação completa da API nem guia de contribuição.

ZKar fornece:

• Um analisador e visualizador de payloads de serialização Java em Go puro, sem necessidade de CGO ou JDK
• Do protocolo de serialização Java para uma struct Go
• Uma biblioteca Go que pode manipular dados de serialização Java
• EM ANDAMENTO: implementação do ysoserial em Go
• EM ANDAMENTO: analisador, visualizador e manipulação de bytecodes de classes Java
• EM ANDAMENTO: uma implementação de RMI/LDAP em Go

📦 Instalação

Usar o ZKar é fácil. Use go get para instalar o ZKar juntamente com a biblioteca e suas dependências:

go get -u github.com/phith0n/zkar

Em seguida, use github.com/phith0n/zkar/* na sua aplicação:

package main

import (
  "fmt"
  "github.com/phith0n/zkar/serz"
  "log"
  "os"
)

func main() {
  fs, _ := os.Open("./testcases/ysoserial/CommonsCollections6.ser")
  defer fs.Close()
  serialization, err := serz.FromReader(fs)
  if err != nil {
    log.Fatal("parse error")
  }

  fmt.Println(serialization.ToString())
}

Aqui está um exemplo que mostra como ler um payload existente e modificá-lo para um payload de codificação UTF-8 superlonga.

💻 Ferramenta de linha de comando

ZKar também fornece uma ferramenta de linha de comando que você pode usar diretamente:

$ go run main.go
NAME:
   zkar - A Java serz tool

USAGE:
   main [global options] command [command options] [arguments...]

COMMANDS:
   generate  generate Java serz attack payloads
   dump      parse the Java serz streams and dump the struct
   help, h   Shows a list of commands or help for one command

GLOBAL OPTIONS:
   --help, -h  show help (default: false)

Por exemplo, você pode despejar (dump) o payload CommonsBeanutils3 do ysoserial assim:

$ go run main.go dump -f "$(pwd)/testcases/ysoserial/CommonsBeanutils3.ser"

🛠 Testes

ZKar é uma ferramenta bem testada que passou em todos os testes de análise e reconstrução de gadgets gerados pelo ysoserial. Isso significa que gadgets gerados pelo ysoserial podem ser analisados pelo ZKar, e as structs analisadas podem ser convertidas de volta para uma string de bytes que é igual à original.

Observação: Para analisar o payload JDK8u20, você deve adicionar a flag --jdk8u20 ao comando dump. Como o payload não é um fluxo de dados serializado válido, é necessário informar ao ZKar para corrigir os dados através dessa flag.

📝 TODO

• Analisador e gerador de bytecodes Java
• Suporte ao gadget JDK/JRE 8u20
• Gerador de payloads de serialização
• Uma implementação de RMI/LDAP em Go
• Suporte à funcionalidade de leitura/escrita de codificação UTF-8 superlonga

⚖️ Licença

ZKar é lançado sob a licença MIT. Veja LICENSE

👀 Veja Também

• SerializationDumper: Uma ferramenta para despejar e reconstruir fluxos de serialização Java e conteúdos de pacotes RMI Java em uma forma mais legível.
• ysoserial: Uma ferramenta de prova de conceito para gerar payloads que exploram desserialização insegura de objetos Java.
• Java-Deserialization-Cheat-Sheet: A folha de dicas sobre vulnerabilidades de desserialização Java.