【工具推荐】推荐两个java安全相关的项目

admin 2025年1月2日10:18:27评论10 views字数 2467阅读8分13秒阅读模式

一、内存马项目

https://github.com/ReaJason/MemShellParty

类似JMG的内存马生成项目,目前作者仍在积极更新中。非常看好后续更新!!

【工具推荐】推荐两个java安全相关的项目

适配情况(期待后续更新)

    已兼容 Java6 ~ Java8、Java9、Java11、Java17、Java21

中间件以及框架

Tomcat(5 ~ 11) Jetty(6 ~ 11) GlassFish(3 ~ 7) Payara(5 ~ 6)
Servlet Servlet Filter Filter
Filter Filter Listener Listener
Listener Listener Valve Valve
Valve

Resin(3 ~ 4) SpringMVC SpringWebFlux Netty
Servlet Interceptor WebFilter x
Filter ControllerHandler HandlerMethod
Listener HandlerFunction

JBossAS(4 ~ 7) JBossEAP(6 ~ 7) WildFly(9 ~ 30) Undertow
Filter Filter Servlet Servlet
Listener Listener Filter Filter
Valve Valve(6) Listener Listener

WebSphere(7 ~ 9) WebLogic (10.3.6 ~ 14)
Servlet Servlet
Filter Filter
Listener Listener

宝兰德 BES(9.5.x) 东方通 TongWeb(6 ~ 7) 中创 InforSuite AS (9 ~ 10) 金蝶 Apusic AS (9)
Filter Filter Filter Servlet
Listener Listener Listener Filter
Valve Valve Valve Listener

内存马功能

  •  哥斯拉

  •  冰蝎

  •  命令执行

  •  Suo5

  •  Neo-reGeorg

  •  Custom

封装方式

  •  JSP

  •  BCEL

  •  BASE64

  •  脚本引擎

  •  EL、SpEL、OGNL

  •  Velocity、Freemarker

  •  原生反序列化(CB4)

  •  JNDI

  •  Agent

  •  JDBC 连接

  •  其他常见反序列化

二、java安全相关payload生成项目

https://github.com/Java-Chains/web-chains

【工具推荐】推荐两个java安全相关的项目

项目介绍

Web-Chains 含有六大模块:

  1. Generate: 生成模块

    • 自定义类名/定义字节码版本,支持使用 Class-Obf 进行字节码混淆

    • 选择 Commons Beanutils 链的多种 comparator 类型

    • 支持生成 TemplatesImpl 格式

    • 支持生成 SnakeYaml Jar 格式

    • 支持生成 Fastjson Groovy 格式

    • 支持生成 JavaWrapper 格式

    • 支持生成 charsets.jar 格式

    • 支持增强魔改版 JMG/JEG 格式 (java echo generator, java memshell generator)

    • 随机集合混淆

    • 垃圾类插入

    • 去除字节码符号信息

    • TC_RESET 填充,仅适用于Java反序列化

    • UTF-8 Overlong Encoding 混淆

    • Java 反序列化原生 Payload 生成

    • Hessian1/2 反序列化 Payload 生成

    • Hessian1 支持生成 HessianServlet 格式反序列化数据

    • Shiro 数据生成(自定义 KEY 使用 GCM 混淆字符等)

    • AMF3 数据生成(基于原生数据多种进阶组合)

    • XStream 数据生成(基于原生数据多种进阶组合)

    • BCEL 字节码生成(直接执行命令,内存马生成,回显生成,探测字节码,读写文件)

    • Class 字节码生成(直接执行命令,内存马生成,回显生成,探测字节码,读写文件)

    • 多种数据库 JDBC Payload 生成(Derby | H2 | PostgreSql | Sqlite

    • SnakeYAML/SpringBeanXML/Velocity/OGNL/MVEL/SPEL/JS/GROOVY

    • Java反序列化、Hessian反序列化支持以下混淆方式:

    • 一些高级选项:

  2. JNDI: JNDI 注入利用模块

    • JndiBasicPayload: LDAP 远程加载字节码

    • JndiDeserializationPayload: LDAP 中基于 javaSerializedData 字段实现的反序列化

    • JndiResourceRefPayload: LDAP 基于 BeanFactory 的 Tomcat EL、Groovy等利用

    • JndiReferencePayload: LDAP 基于其他 ObjectFactory 的Reference利用,例如各种DataSource JDBC利用

    • JndiRMIDeserializePayload: LDAP 高版本 JDK 绕过之RMI反序列化

    • JndiRefBypassPayload: LDAP 高版本 JDK 绕过之ReferenceBypass

    • JndiShowHandPayload: JNDI梭哈链,一键测试常规利用链,提高测试效率

  3. Fake MySQL

    • FakeMysqlPayload: 经典 MySQL JDBC 反序列化利用姿势

    • FakeMysqlShowHandPayload: FakeMySQL梭哈链,一键测试常规反序列化链,提高测试效率

  4. JRMPListener

    • 可配合 JRMPClient 反序列化链实现RMI低版本的绕过

  5. TCP Server

    • 一个简易的 TCP Server,可以将生成的Payload文件挂载到TCP端口服务上

    • 适用于 Derby 反序列化 RCE 场景,可直接通过tcp端口获取反序列化数据

  6. HTTP Server

    • 一个简易的HTTP服务器,将生成的Payload文件挂载到HTTP端口服务上

    • 适用于 postgresql 远程加载 SpringBeanXML 文件等场景

欢迎大家关注!!!!

专注安全技术分享,热衷于分享一些最新的思路文章,内网渗透思路技巧、实战文章、waf绕过技巧以及好文推荐等

原文始发于微信公众号(哈拉少安全小队):【工具推荐】推荐两个java安全相关的项目

免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2025年1月2日10:18:27
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【工具推荐】推荐两个java安全相关的项目https://cn-sec.com/archives/3581707.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉.

发表评论

匿名网友 填写信息