ysoserial

ysoserial 一个用于生成利用不安全Java对象反序列化的有效载荷的概念验证工具。 描述 最初作为AppSecCali 2015演讲 "Marshalling Pickles: how deserializing objects will ruin your day" 的一部分发布，包含Apache Commons Collections 3.x和4.x、Spring Beans/Core 4.x和Groovy 2.3.x的gadget链。 后续更新增加了针对 JRE = 1.7u21 及其他几个库的gadget链。 ysoserial...

zkar

ZKar ZKar is a Java serialization protocol analysis tool implement in Go. This tool is still work in progress , so no complete API document and contribution guide. ZKar provides: A Java serialization payloads parser and viewer in pure Go, no CGO or JDK is required From the Java serialization...

zkar

ZKar ZKar 是一款使用 Go 实现的 Java 序列化协议分析工具。该工具仍处于 开发中 阶段，因此尚无完整的 API 文档和贡献指南。 ZKar 提供： 纯 Go 编写的 Java 序列化 payload 解析器和查看器，无需 CGO 或 JDK 从 Java 序列化协议到 Go 结构体的转换 一个可操作 Java 序列化数据的 Go 库 开发中：用 Go 实现 ysoserial 开发中：Java 类字节码的解析、查看和操作 开发中：Go 实现的 RMI/LDAP 📦 安装 ZKar 的使用很简单。使用 go get 安装 ZKar 及其库和依赖： root@kitploit...

CVE-2017-12149

CVE-2017-12149 Jboss Ejecución Remota de Código por Deserialización Java CVE-2017-12149 El script de Python usa ysoserial para generar dinámicamente el payload. Por lo tanto, también se requiere Java...

RmiTaste

RmiTaste RmiTaste 允许安全专业人员通过使用 ysoserial 中的小工具调用远程方法来检测、枚举、交互和攻击 RMI 服务。它还允许使用特定参数调用远程方法。 免责声明 RmiTaste 旨在帮助安全专业人员识别系统中不安全的 RMI 服务，前提是用户已获得攻击该系统的许可。未经授权访问计算机系统是非法的，RmiTaste 必须遵守所有相关法律。否则可能导致您被起诉。RmiTaste 的开发者不承担任何责任，也不对因使用本程序造成的任何误用或损害负责。 构建与运行 需要 openjdk 11.0.3。 1. 下载 ysoserial-master-SNAPSHOT.j...

remote-method-guesser

Remote Method Guesser remote-method-guesser rmg is a Java RMI vulnerability scanner and can be used to identify and verify common security vulnerabilities on Java RMI endpoints...

ysoserial

ysoserial Una herramienta de prueba de concepto para generar payloads que explotan la deserialización insegura de objetos Java. Descripción Publicado originalmente como parte de la charla AppSecCali 2015 "Marshalling Pickles: cómo deserializar objetos arruinará tu día" con cadenas de gadgets para...

openam-CVE-2021-35464

openam CVE-2021-35464 Tomcat ejecuta comandos con eco. Proyecto basado en ysoserial y Java-Rce-Echo Para construir el proyecto, es necesario agregar ysoserial.jar y jato-14.6.3.jar a las dependencias. root@kitploit: POST /OpenAM/ccversion/Version HTTP/1.1 Host: php.local:8081...

Exploit-CVE-2023-49070-and-CVE-2023-51467-Apache-OFBiz

Exploit CVE-2023-49070 y CVE-2023-51467 Apache OFBiz 18.12.10 Vulnerabilidad de omisión de autenticación en Apache OFBiz Este código de exploit ha sido desarrollado únicamente con fines educativos y para mejorar las prácticas de ciberseguridad. Cualquier uso con fines ilícitos es responsabilidad...

CVE-2021-26295--

CVE-2021-26295-- CVE-2021-26295-POC utiliza DNSlog para verificar la vulnerabilidad CVE-2021-26295. Uso de poc: coloque el objetivo en target.txt y ejecute python poc.py. El entorno Jdk debe ser 12; de lo contrario, ysoserial no puede generar el payload correctamente. exp: python exp.py...

cve-2016-1000027-poc

PoC para CVE-2016-1000027 Esta es una aplicación de demostración Spring Boolt que está afectada por CVE-2016-1000027. Pasos para reproducir la vulnerabilidad 1. Inicia un servidor vulnerable com.gypsyengineer.server.Server. 2. Ejecuta com.gypsyengineer.client.Exploit. La clase Exploit lee...

JYso

JYso 可以同时当做 ysoserial 与 JNDIExploit 使用的工具，同时具备多种JNDI高版本、WAF、RASP的Bypass功能 中文文档 | English 🚀 上手指南 📢 请务必花一点时间阅读此文档，有助于你快速熟悉JYso！ 🧐 使用文档Wiki。 ✔ 下载最新版本的Releases。 👍 特点 GUI启动，傻瓜式操作 JNDI 账号密码启动 JNDI 路由隐藏或加密 JNDI 高版本Bypass 自定义修改内存马的路径、密码、验证的HTTP头与值 内存马支持无文件落地Agent打入 内存马写入 JRE 或环境变量来隐藏 序列化数据加脏数据...

CVE-2022-0265

CVE-2022-0265 Pon ysoserial.jar en el mismo directorio ejemplo python CVE-2022-0265.py 127.0.0.1 URLDNS "http://xxx.log."...

Tomcat-CVE_2025_24813

Tomcat CVE-2025-24813 playground Exploit was forked from https://github.com/absholi7ly/POC-CVE-2025-24813/blob/main/README.md did not work for me Content 1. ROOT.war is a minimal app with one servlet including apache-common-3.1 and spawing a session 2. ysoserial.jar taken original from ysoserial...

CVE-2020-9484

CVE-2020-9484 Reproducción de la vulnerabilidad de ejecución de código por deserialización de sesión de Apache Tomcat CVE-2020-9484 con Kali 2.0 Entorno: 1. Kali 2.0 2. apache-tomcat-7.0.61-CVE-2020-9484.tar.gz la webapp es s2-053, se añadió commons-collections4-4.0.jar en su lib Inicio...

ysoserial

ysoserial A proof-of-concept tool for generating payloads that exploit unsafe Java object deserialization. Description Originally released as part of AppSecCali 2015 Talk "Marshalling Pickles: how deserializing objects will ruin your day" with gadget chains for Apache Commons Collections 3.x and...

CVE-2021-26295

CVE-2021-26295 CVE-2021-26295 EXP puede obtener una reverse shell exitosamente Este artículo y la herramienta son solo para compartir tecnología. Está estrictamente prohibido su uso con fines ilegales. Cualquier consecuencia derivada será responsabilidad del usuario. EXP para desencadenar la...

CVE-2017-10366_peoplesoft

CVE-2017-10366: Exploit de deserialización Java de Oracle PeopleSoft 8.54, 8.55, 8.56 Este script automatiza la explotación de una vulnerabilidad de deserialización Java en Oracle PeopleSoft, descubierta originalmente por Vahagn Vardanyan. Este exploit requiere ysoserial.jar para generar payloads...

CVE-2021-40865

CVE-2021-40865 CVE-2021-40865 POC/exploit-poc root@kitploit: import org.apache.commons.io.IOUtils; import org.apache.storm.serialization.KryoValuesSerializer; import ysoserial.payloads.ObjectPayload; import ysoserial.payloads.URLDNS; import java.io.; import java.math.BigInteger; import java.net.;...

CVE-2018-3245

CVE-2018-3245 Paso 1 java -jar ysoserial-cve-2018-3245.jar root@kitploit: WHY SO SERIAL? Usage: java -jar ysoserial-cve-2018-3245.jar payload 'command' Available payload types: Payload Authors Dependencies ------- ------- ------------ CVE201828931 @mbechler CVE201828932 @mbechler CVE201828933...