ZKar

ZKar — это инструмент анализа протокола сериализации Java, реализованный на Go. Этот инструмент всё ещё в разработке, поэтому полной документации по API и руководства по внесению вклада пока нет.

ZKar предоставляет:

• Парсер и просмотрщик полезных нагрузок сериализации Java на чистом Go, не требует CGO или JDK
• Преобразование протокола сериализации Java в структуру Go
• Библиотека Go для манипуляции данными сериализации Java
• В разработке: реализация ysoserial на Go
• В разработке: парсер, просмотрщик и манипуляция байт-кодами классов Java
• В разработке: реализация RMI/LDAP на Go

📦 Установка

Использовать ZKar просто. Используйте go get для установки ZKar вместе с библиотекой и её зависимостями:

go get -u github.com/phith0n/zkar

Далее используйте github.com/phith0n/zkar/* в вашем приложении:

package main

import (
  "fmt"
  "github.com/phith0n/zkar/serz"
  "log"
  "os"
)

func main() {
  fs, _ := os.Open("./testcases/ysoserial/CommonsCollections6.ser")
  defer fs.Close()
  serialization, err := serz.FromReader(fs)
  if err != nil {
    log.Fatal("parse error")
  }

  fmt.Println(serialization.ToString())
}

Здесь приведён пример того, как прочитать существующую полезную нагрузку и изменить её на полезную нагрузку с избыточным кодированием UTF-8.

💻 Утилита командной строки

ZKar также предоставляет утилиту командной строки, которую можно использовать напрямую:

$ go run main.go
NAME:
   zkar - A Java serz tool

USAGE:
   main [global options] command [command options] [arguments...]

COMMANDS:
   generate  generate Java serz attack payloads
   dump      parse the Java serz streams and dump the struct
   help, h   Shows a list of commands or help for one command

GLOBAL OPTIONS:
   --help, -h  show help (default: false)

Например, вы можете дампнуть полезную нагрузку CommonsBeanutils3 из ysoserial следующим образом:

$ go run main.go dump -f "$(pwd)/testcases/ysoserial/CommonsBeanutils3.ser"

🛠 Тесты

ZKar — это хорошо протестированный инструмент, прошедший все тесты разбора и перестройки гаджетов, сгенерированных ysoserial. Это означает, что гаджет, сгенерированный ysoserial, может быть разобран ZKar, а разобранные структуры могут быть преобразованы обратно в байтовую строку, равную исходной.

Примечание: Для разбора полезной нагрузки JDK8u20 необходимо добавить флаг --jdk8u20 к команде dump. Поскольку полезная нагрузка не является допустимым потоком сериализованных данных, необходимо сообщить ZKar о патче данных через этот флаг.

📝 Планы

• Парсер и генератор байт-кодов Java
• Поддержка гаджета JDK/JRE 8u20
• Генератор полезных нагрузок сериализации
• Реализация RMI/LDAP на Go
• Поддержка чтения/записи функции избыточного кодирования UTF-8

⚖️ Лицензия

ZKar распространяется под лицензией MIT. См. LICENSE

👀 См. также

• SerializationDumper: Инструмент для дампа и перестройки потоков сериализации Java и содержимого пакетов Java RMI в более удобной для чтения форме.
• ysoserial: Инструмент для создания полезных нагрузок, эксплуатирующих небезопасную десериализацию объектов Java.
• Java-Deserialization-Cheat-Sheet: Шпаргалка по уязвимостям десериализации Java.