文章总结： ShiroExploit是一款Shiro反序列化综合利用工具，支持高版本JDK及多种利用链动态生成。通过分块传输、Lambda化和加密通信实现隐蔽内存马注入，具备改Key、探测链等功能，适用于JDK18及Tomcat10环境。 综合评分： 85 文章分类： 安全工具,WEB安全,漏洞POC,渗透测试,免杀

Shiro反序列化漏洞一站式综合利用工具 — ShiroExploit（1月21日更新）

FightingLzn9 FightingLzn9

Web安全工具库

2026年1月22日 10:05 河南

===================================

免责声明

请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，大家都要把工具当做病毒对待，在虚拟机运行。如有侵权请联系删除。个人微信：ivu123ivu

0x01 工具介绍

ShiroExploit，是一款Shiro反序列化漏洞一站式综合利用工具。基本概述如下：

1、区分ShiroAttack2，采用分块传输内存马，每块大小不超过4000。2、可打JDK高版本的shiro，确保有key、有gadget就能rce。3、依托JavaChains动态生成gadget，实现多条利用链，如CB、CC、Fastjson、Jackson。4、通过魔改MemshellParty的内存马模板，使其回显马通信加密，去除一些典型的特征。5、借助JMG的注入器，加以魔改，实现无侵入性，同一个容器可同时兼容多种类型的内存马。6、对内存马和注入器类名进行随机化和Lambda化处理，规避内存马主动扫描设备的检测。7、可以更改目标配置，如改Key、改TomcatHeaderMaxSize。8、采用URLDNS链和反序列化炸弹的方式来探测指定类实现利用链的探测。9、缺点是流量相对大一些。

0x02 安装与使用

JDK18场景下实现命令执行和打入多种内存马。

跑key。

探测利用链。

命令执行。

打入Godzilla内存马（支持Behinder内存马）。

打入SUO5V2内存马。

支持Tomcat10及以上的内存马。

0x03 项目链接下载

1、点击阅读原文，从原项目地址下载。

2、网盘下载链接：https://pan.quark.cn/s/b7bac1c2ee9e

| | | | — | — | | | |

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：Web安全工具库 FightingLzn9 FightingLzn9《Shiro反序列化漏洞一站式综合利用工具 — ShiroExploit（1月21日更新）》