文章总结： 本文介绍两款Shiro反序列化漏洞利用工具ShiroAttack2和ShiroExploit，详细展示其支持的内存马注入、密钥爆破、利用链探测等功能，同时包含大量安全培训课程和知识库的广告推广内容。
综合评分： 60
文章分类： 安全工具,WEB安全,漏洞分析,红队,渗透测试
[工具推荐]两款最新的shiro反序列化漏洞综合利用工具
原创
陌笙
陌笙
陌笙不太懂安全
2026年4月26日 17:49
河北
在小说阅读器读本章
去阅读
免责声明
由于传播、利用本公众号所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号陌笙不太懂安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉，谢谢！
工具一:ShiroAttack2
一款针对Shiro550漏洞进行快速漏洞利用
工具特点
JavaFX GUI，开箱即用处理没有第三方依赖的情况支持多版本 CommonsBeanutils gadget（1.8.3 / 1.9.2 / AttrCompare）支持内存马注入（Filter / Servlet 型，支持哥斯拉、蚁剑、冰蝎、NeoreGeorg、reGeorg）采用直接回显执行命令（Tomcat / Spring / DFS-AllEcho）支持修改 rememberMe 关键词支持直接爆破利用 gadget 和 key支持代理（HTTP/HTTPS，支持认证）支持修改 Shiro Key（内存马方式，可能导致业务异常）添加 DFS 算法回显（AllEcho）支持自定义请求头，格式：abc:123&&&test:123支持 POST 型 Shiro 探测与利用Key 生成器（随机生成 AES Key）
工具截图
工具首页
利用链
内存马注入
shirokey修改
内存马生成
其他功能不在一一截图
工具二:ShiroExploit
ShiroExploit,是一款Shiro反序列化漏洞一站式综合利用工具。
工具整体架构
基本概述如下：
1、区分ShiroAttack2，采用分块传输内存马，每块大小不超过4000。2、可打JDK高版本的shiro，确保有key、有gadget就能rce。3、依托JavaChains动态生成gadget，实现多条利用链，如CB、CC、Fastjson、Jackson。4、通过魔改MemshellParty的内存马模板，使其回显马通信加密，去除一些典型的特征。5、借助JMG的注入器，加以魔改，实现无侵入性，同一个容器可同时兼容多种类型的内存马。6、对内存马和注入器类名进行随机化和Lambda化处理，规避内存马主动扫描设备的检测。7、可以更改目标配置，如改Key、改TomcatHeaderMaxSize。8、采用URLDNS链和反序列化炸弹的方式来探测指定类实现利用链的探测。9、缺点是流量相对大一些。
功能演示
JDK18场景下实现命令执行和打入多种内存马。
爆破key
探测利用链
命令执行
打入Godzilla内存马（支持Behinder内存马）
打入SUO5V2内存马
支持Tomcat10及以上的内存马
其他页面不在一一截图
工具地址
https://github.com/SummerSec/ShiroAttack2 https://github.com/FightingLzn9/ShiroExploit
后台回复加群加入交流群
广告：cisp pte/pts &nisp1级2级低价报考
陌笙安全纷传圈子+陌笙src挖掘知识库+陌笙安全漏洞库+陌笙安全面试题库简单介绍（加入纷传圈子送知识库+漏洞库+面试题库）
如果觉得合适可以加入,圈子目前价格39.9元，价格只会根据圈子内容和圈子人数进行上调，不会下跌。。。
圈子福利
edu漏洞挖掘1v1指导出洞
陌笙src挖掘知识库介绍（内容持续更新中）
信息收集(会永久提供fofa-key助力)弱口令漏洞任意文件读取&删除&下载漏洞sql注入漏洞url重定向漏洞未授权访问漏洞挖掘XSS漏洞挖掘等等常见漏洞EDUSRC证书站挖掘案例分享SRC挖掘实战针对各种常见功能总结的常见测试思路等经典常见Nday漏洞复现等各模块不在一一介绍
src挖掘基础
src挖掘实战
edusrc
经典nday复现
陌笙安全漏洞库介绍
1day&0day分享EDU学校相关漏洞Web应用漏洞CMS漏洞OA产品漏洞中间件漏洞云安全漏洞人工智能漏洞其他漏洞
陌笙安全面试库
渗透测试基本问题一汇总渗透测试基本问题二汇总渗透测试基本问题三汇总微步护网面试题目长亭科技面试深信服护网面试启明星辰渗透测试面试题目安恒面试题目360面试奇安信护网面试运维面试题目运维面试题库网安面试相关文档大全相关面试文章推荐等等
陌笙纷传圈子介绍
1、src挖掘思维导图，信息收集思维导图，edusrc挖掘思维导图，以及后续的红队&面试思维导图&自己网安笔记等持续更新2、2025-2026的edusrc实战报告包含证书站和非证书站以及2025之前的各种优质报思路分享3、各种src报告思路分享（内部&外部）4、分享各种src挖掘&edusrc挖掘培训资料&视频5、不定期分享通杀、0day6、有圈子群可以技术交流以及不定期抽取证书&免费rank7.分享各种护网资料各家安全厂商讲解视频&精选实战面试题目8、各种框架漏洞技巧分享9、各种源码分享（泛微、正方系统、用友等）10、漏洞挖掘工具&信息收集工具&内网渗透免杀等网安工具分享11、各种ctf资料以及题目分享12、cnvd挖掘技巧&CNVD资产&src资产分享&补天1权重资产分享&fofakey共用13、免杀、逆向、红队攻内网防渗透等课程分享14、漏洞库&字典以各种内容不在一一说明15、cisp-pte/pts&nisp一级&nisp二级&edusrc证书内部价格15、如果有漏洞挖掘问题或者工具资料需求可以找群主(尽量满足)
目前650多条内容，扫码查看详情，持续更新中。。
如果觉得合适可以加入，价格不定期会根据圈子内容和圈子人数进行上调。。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：陌笙不太懂安全 陌笙
陌笙《[工具推荐]两款最新的shiro反序列化漏洞综合利用工具》