[工具推荐]Hessian反序列化漏洞利用工具分享

如果觉得该文章有帮助的，麻烦师傅们可以搜索下微信公众号：良月安全。点个关注，感谢师傅们的支持。

免责声明

本号所发布的所有内容，包括但不限于信息、工具、项目以及文章，均旨在提供学习与研究之用。所有工具安全性自测。如因此产生的一切不良后果与文章作者和本公众号无关。如有涉及公司与个人敏感信息，侵权烦请告知，我们会立即删除并致歉。

前言

星球里有个师傅问了反序列化文件怎么生成的，简单写个小工具。

测试环境

HessianTest.war hessian反序列化demo，直接放在tomcat的webapps目录下。

就长这样，注意这里只是本地测试环境的路径。

实现功能

工具目前只是实现了几个比较简单的利用方式，其他利用方式待完善，仅做学习参考，有不好的地方大佬勿喷

dnslog探测

文件写入

jndi注入

bcel利用

命令回显

bcel注入冰蝎内存马

bcel注入suo5内存马

星球内获取工具。方便师傅们二开完善，工具源码也放置在星球内。

参考连接

奇安信攻防社区-某人力系统的代码审计

SwingLazyValue在WebShell下的利用 -