shiro反序列化漏洞工具的使用

shiro特征：

未登陆的情况下，请求包的cookie中没有rememberMe字段，返回包set-Cookie里也没有deleteMe字段

登陆失败的话，不管勾选RememberMe字段没有，返回包都会有rememberMe=deleteMe字段

不勾选RememberMe字段，登陆成功的话，返回包set-Cookie会有rememberMe=deleteMe字段。但是之后的所有请求中Cookie都不会有rememberMe字段

勾选RememberMe字段，登陆成功的话，返回包set-Cookie会有rememberMe=deleteMe字段，还会有rememberMe字段，之后的所有请求中Cookie都会有rememberMe字段  

漏洞工具地址

链接：https://pan.baidu.com/s/1gJk6yG8z-S_VF64SDYeROQ 
提取码：1122

工具使用：双击ShiroExploit.jar打开工具如下

输入shiro的地址 http://ip:port/shiro 进行下一步

下一步

下一步

在攻击机上监听端口
nc -lvp 8888

在工具上选中反弹shell 并填写接受反弹shell机器的ip和端口

得到系统权限