文章总结： ShiroAttack2针对Shiro550提供图形化一键利用，集成多版本CommonsBeanutils、内存马植入、回显命令执行、key爆破与自定义请求头，支持代理及DFS回显，可修改rememberMe关键词并内置小马，使用时需自建data/shiro_keys.txt并注意内存马可能干扰业务。
综合评分： 78
文章分类： 渗透测试,漏洞POC,红队,安全工具
shiro反序列化漏洞综合利用,包含（回显执行命令注入内存马）
W小哥
2026年1月16日 11:34
浙江
编者荐语：
文章是转载，工具获取，请关注”木吉他的鱼”获取
以下文章来源于木吉他的鱼
，作者SummerSec
木吉他的鱼
.
专注渗透测试、漏洞挖掘、CTF竞赛解析等实战内容，深度还原攻防场景，分享一线安全工程师的实战经验。定期发布工具教程、案例复盘及攻防思维训练，助力安全从业者提升技术深度，打造攻防兼备的网络安全能力。
ShiroAttack2
一款针对Shiro550漏洞进行快速漏洞利用
前言
关于该工具更新内容介绍后续会更新到博客下面https://shiro.sumsec.me/
工具特点
·javafx
·处理没有第三方依赖的情况
·支持多版本CommonsBeanutils的gadget
·支持内存马
·采用直接回显执行命令
·添加了更多的CommonsBeanutils版本gadget
·支持修改rememberMe关键词
·支持直接爆破利用gadget和key
·支持代理
·添加修改shirokey功能（使用内存马的方式）可能导致业务异常
·支持内存马小马
·添加DFS算法回显（AllECHO）
·支持自定义请求头，格式：abc:123&&&test:123
FAQ 常见问题见
FAQ
使用方法
直接使用shiro_attack-{version}-SNAPSHOT-all.jar第三版
在jar的当前目录下创建一个data文件夹，里面创建一个shiro_keys.txt文件，文件内容是shiro_key。lib目前是CommonsBeanutils依赖的版本。
关注公众号回复“20260116”获取工具地址。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：W小哥 《shiro反序列化漏洞综合利用,包含（回显执行命令注入内存马）》