很多时候打项目的时候会遇到jndi注入用不了ldap协议的情况,但是rmi却可以用,于是诞生了这个可能没什么用的工具。
适用于目标用不了ldap的情况
懒人专属,老规矩,富婆扫描器,不想努力就用它。不用自己写class打rmi了
用法:
把文件全上传到服务器/VPS上
先启动Log4jWeb-0.0.1:
java -jar Log4jWeb-0.0.1.jar
然后启动Log4j2Memory-0.1.jar
java -jar Log4j2Memory-0.1.jar
就可以食用
工具说明:
暂时只有三种类型可供选择:filter、Servlet、listener
目前暂时只支持注入部分基于tomcat7-8-10环境的内存马(部分springboot等)
后续会持续更新内存马
使用说明:
所有内存马参数都是chan,servlet的url是/p,如果参数是空会显示404
内存马来自项目:https://github.com/ce-automne/TomcatMemShell
2022/07/18 0.1.1版本更新:
1.增加冰蝎内存马
2.改掉几个bug
界面:
冰蝎内存马演示:
漏洞环境:springboot+Log4j
冰蝎版本:Behinder_v3.0_Beta_11.t00ls
servlet:
filter:
法律
本工具仅能在取得足够合法授权的企业安全建设中使用在使用,
本工具过程中,您应确保自己所有行为符合当地的法律法规。
如您在使用本工具的过程中存在任何非法行为,您将自行承担所有后果,本工具所有开发者和所有贡献者不承担任何法律及连带责任。
除非您已充分阅读、完全理解并接受本协议所有条款,否则,请您不要安装并使用本工具。
您的使用行为或者您以其他任何明示或者默示方式表示接受本协议的,即视为您已阅读并同意本协议的约束