shiro反序列化利用工具-ShiroAttack2(一)

已于 2023-08-14 09:51:08 修改
阅读量1.7k 收藏 5
点赞数 1
分类专栏： # shiro反序列化利用工具 文章标签： web安全 shiro反序列化 漏洞利用
于 2023-08-10 17:35:31 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_60571842/article/details/132214393
版权
利用shiro反序列化注入冰蝎内存马
洋洋的小黑屋
12-27 487
# 利用shiro反序列化注入冰蝎内存马 文章首发先知社区：https://xz.aliyun.com/t/10696 一、shiro反序列化注入内存马 1)tomcat filter内存马 先来看一个普通的jsp写入tomcat filter内存马的代码： <%@ page import="org.apache.catalina.core.ApplicationContext" %&gt...
详细shiro漏洞复现及利用方法（CVE-2016-4437）
热门推荐
dreamthe的博客
04-26 3万+
该篇文章比较详细的介绍shiro漏洞利用，无论是shiro漏洞图形化工具利用，还是shiro漏洞结合JRMP我觉得比大多数文章都详细，如果你对网上结合JRMP反弹shell不是很明白，非常推荐来看看这篇文章。另外漏洞利用工程中用到的工具以及代码都上传到百度网盘，供大家使用，在文章最后哦。
shiro反序列化漏洞利用工具
11-09
图形化界面，该工具支持漏洞检测，请勿用作非法途径，否则后果自负。 Shiro550无需提供rememberMe Cookie，Shiro721需要提供一个有效的rememberMe Cookie 可以手工指定特定的 Key/Gadget/EchoType（支持多选），如果不指定会遍历所有的 Key/Gadget/EchoType 复杂Http请求支持直接粘贴数据包 pic1
【shiro】shiro反序列化漏洞综合利用工具v2.2（下载、安装、使用）
最新发布
小王的技术库
04-03 592
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等。④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking。③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察。⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现。③常见协议解析（HTTP、TCP/IP、ARP等）④等保简介、等保规定、流程和规范。③网络安全运营的概念。
Shiro反序列化工具——ShiroAttack2
qq_44029310的博客
09-24 9904
shiro反序列化漏洞综合利用，包含（回显执行命令/注入内存马）修复原版中NoCC的问题。作者为SummerSec。
shiro 反序列化漏洞综合利用工具 shiro_attack_by J1anfen
11-05
shiro 反序列化漏洞综合利用工具 shiro_attack_by J1anfen，里面的 jar 直接运行即可，用于 shiro 漏洞检测、修复验证等
ShiroAttack2 使用教程
gitblog_00686的博客
08-08 1405
ShiroAttack2 使用教程 项目地址:https://gitcode.com/gh_mirrors/sh/ShiroAttack2 项目介绍 ShiroAttack2 是一个针对 Apache Shiro 的 550 及相关漏洞进行快速检测与利用的开源工具。它由 SummerSec 开发，旨在帮助安全研究人员和开发者迅速识别并利用 Shiro 反序列化漏洞，特别是在包含回显执行命令和注入内...
反序列化利用工具ShiroExploit.V2.51.7z
08-31
反序列化利用工具
shiro-attack-4.7.0-SNAPSHOT-all.zip
10-24
标题提到的"shiro-attack-4.7.0-SNAPSHOT-all.zip"很可能是针对Apache Shiro的安全测试工具或者漏洞利用工具包，其主要目的是帮助开发者检测和防范Shiro框架相关的安全问题。 描述中的"序列化验证工具"可能是指该...
shiro_attack_2.1.zip
10-12
总结，"shiro_attack_2.1.zip"提供的工具为安全研究人员和渗透测试人员提供了一个便捷的方式，来检测和利用Apache Shiro的反序列化漏洞。了解和使用这样的工具，可以帮助我们更好地理解漏洞的性质，提升系统的安全性...
shiro_attack-2.2.jar
12-17
shiro_attack-2.2.jar
shiro反序列化漏洞暴力破解漏洞检测工具
09-14
文件内包含内容如下： 1.shiro反序列化漏洞、暴力破解漏洞检测工具源码 2.shiro反序列化漏洞、暴力破解漏洞检测工具jar包 3.shiro反序列化漏洞、暴力破解漏洞检测工具启动方法 4.shiro反序列化漏洞、暴力破解漏洞检测工具使用方法 5.shiro反序列化漏洞、暴力破解漏洞修改方法
反序列化利用工具ShiroExploit.V2.51
10-14
漏洞检测工具
shiro反序列化测试工具.zip
06-04
shiro反序列化测试工具包，两个使用任意一个即可
Shiro反序列化漏洞检测工具
01-05
Shiro1.2.4及以下版本存在反序列化漏洞，该工具用于测试该漏洞。
【靶机实战】Shiro550反序列化漏洞复现
qq_21039641的博客
07-04 620
Shiro550漏洞，也称为Apache Shiro反序列化漏洞（CVE-2016-4437），是存在于Apache Shiro 1.2.4及以前版本中的一个安全漏洞。该漏洞允许攻击者利用Shiro框架在处理记住密码功能（RememberMe）时使用的默认或可预测的AES加密密钥，通过构造恶意的序列化数据并将其加密和编码后发送至服务端，导致服务端在解密并反序列化过程中执行攻击者预设的代码，从而可能获取服务器的控制权。
shiro反序列化利用工具-ShiroExp(二)
SuperherRo的博客
08-11 743
shiro综合利用工具
shiro反序列化利用工具
07-27
Shiro是一个被广泛应用于Java应用程序中的安全框架，它提供了身份验证、授权、会话管理等功能。由于Shiro在处理用户会话序列化时存在一些安全漏洞，攻击者可以利用这些漏洞进行反序列化攻击。 反序列化攻击是一种利用Java对象序列化机制的攻击方法。攻击者可以通过构造恶意的序列化数据，将其传递给目标应用程序，然后利用漏洞触发目标应用程序对恶意数据的反序列化操作。这样一来，攻击者就能够在目标系统上执行任意代码，从而导致严重的安全问题。 为了利用Shiro的反序列化漏洞，攻击者需要先找到目标系统中使用了Shiro的应用程序。然后，攻击者可以使用开源的反序列化利用工具，如ysoserial或ShiroExploit，生成恶意的序列化数据。这些工具可以方便地构造包含恶意代码的序列化对象，并将其序列化为字节流。 一旦攻击者生成了恶意的序列化数据，他们就可以通过各种方式将其传递给目标应用程序，例如通过网络传输、文件上传等方式。当目标应用程序接收到这些恶意数据并进行反序列化操作时，恶意代码就会在目标系统上执行。 为了防止Shiro反序列化利用工具的攻击，开发人员可以采取以下措施： 1. 及时更新Shiro版本：Shiro开发团队会定期修复漏洞并发布新版本。开发人员应及时更新Shiro框架，以修复已知的反序列化漏洞。 2. 停用或限制不必要的Shiro功能：如果应用程序不需要某些Shiro功能，开发人员可以将其禁用或限制，以降低攻击面。 3. 输入验证与过滤：开发人员应该对用户输入进行严格的验证和过滤，以防止恶意的序列化数据被传递到应用程序中。 4. 序列化对象白名单：在反序列化时，开发人员可以使用白名单机制，限制只允许特定的序列化对象进行反序列化操作。 总之，Shiro反序列化利用工具是一种攻击手段，开发人员应该重视相关安全漏洞，并采取适当的措施来保护应用程序免受此类攻击的影响。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

SuperherRo

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值