探索Java安全新边界：JNDI-Inject-Exploit

探索Java安全新边界：JNDI-Inject-Exploit

JNDI-Inject-Exploit解决FastJson、Jackson、Log4j2、原生JNDI注入漏洞的高版本JDKBypass利用，探测本地可用反序列化gadget达到命令执行、回显命令执行、内存马注入项目地址:https://gitcode.com/gh_mirrors/jn/JNDI-Inject-Exploit

1、项目介绍

JNDI-Inject-Exploit 是一个强大的工具，专门针对Fastjson、log4j2和原生JNDI注入漏洞进行检测和利用。它有效地解决了针对高版本JDK的Bypass问题，允许在具有反序列化Gadget依赖的情况下实现命令执行等多种攻击方式。这个工具的设计理念是安全测试中的合法利用，适用于企业内部的安全审计。

2、项目技术分析

JNDI-Inject-Exploit通过建立LDAP服务器来返回原生Java反序列化数据，从而绕过高版本JDK的限制。它能探测本地的Gadget，并且支持多种漏洞环境，如Spring与Log4j2的应用场景。此外，它还提供回显命令执行、内存马注入等功能，包括Tomcat和Resin的一句话内存马。工具支持自定义HTTP请求，可以方便地集成到自动化测试流程中。

3、项目及技术应用场景

• 安全测试：在企业环境中，JNDI-Inject-Exploit可以帮助安全团队检测系统是否存在上述漏洞，并评估其风险。
• 漏洞挖掘：对于研究人员来说，这个工具是一个有效的工具，可以帮助他们探索新的攻击途径和潜在的防御策略。
• 漏洞响应：在发现相关漏洞的紧急情况下，它可以快速验证受影响系统的易感性。

4、项目特点

• 全面的Gadget探测：支持一系列常见的Java反序列化Gadget，包括BeanShell、CommonsCollections和Groovy等。
• 灵活的HTTP请求构建：支持从文件读取HTTP请求数据包，自定义HTTP方法、请求头和主体内容。
• 多样化的利用手段：不仅限于命令执行，还包含了回显命令执行、内存马注入等高级利用方式。
• 易于使用：简单的命令行界面，只需几个参数即可启动探测和利用过程。
• 持续更新：定期发布新版本，修复问题并增加新功能，保持与最新威胁的同步。

JNDI-Inject-Exploit是一个专业且实用的开源工具，对于深入理解和应对Java反序列化漏洞有重要的参考价值。无论你是安全专业人士还是对网络安全感兴趣的开发者，都值得将其纳入你的工具箱。但是，请务必遵循合法使用的原则，避免对未经授权的目标进行测试。

JNDI-Inject-Exploit解决FastJson、Jackson、Log4j2、原生JNDI注入漏洞的高版本JDKBypass利用，探测本地可用反序列化gadget达到命令执行、回显命令执行、内存马注入项目地址:https://gitcode.com/gh_mirrors/jn/JNDI-Inject-Exploit