关于该工具更新内容介绍后续会更新到博客下面https://shiro.sumsec.me/
- javafx
- 处理没有第三方依赖的情况
- 支持多版本CommonsBeanutils的gadget
- 支持内存马
- 采用直接回显执行命令
- 添加了更多的CommonsBeanutils版本gadget
- 支持修改rememberMe关键词
- 支持直接爆破利用gadget和key
- 支持代理
- 添加修改shirokey功能（使用内存马的方式）可能导致业务异常
- 支持内存马小马
- 添加DFS算法回显（AllECHO）
- 支持自定义请求头，格式：abc:123&&&test:123
当前版本新增了两个第三方生成器模块，并保持原有检测和攻击链路兼容：
- Echo Generator 模块（基于
java-echo-generator/jeg-core） - Memshell Generator 模块（基于
java-memshell-generator/jmg-sdk） - UI 新增两个独立功能区：
Echo Generator、Memshell Generator - 原有链路保持不变：
checkIsShiro -> keysCrack -> gadget/echo -> Shiro 加密发送 - 默认兼容策略为
Legacy，第三方生成失败时自动回退 Legacy 逻辑
在项目构建前，请先安装以下第三方 Jar 到本地 Maven：
mvn install:install-file -Dfile=jEG-Core-1.0.0.jar -DgroupId=jeg -DartifactId=jeg-core -Dversion=1.0.0 -Dpackaging=jar
mvn install:install-file -Dfile=jmg-sdk-1.0.9.jar -DgroupId=jmg -DartifactId=jmg-sdk -Dversion=1.0.9 -Dpackaging=jar更多接入细节可查看：
直接使用shiro_attack-{version}-SNAPSHOT-all.jar第三版
在jar的当前目录下创建一个data文件夹，里面创建一个shiro_keys.txt文件，文件内容是shiro_key。lib目前是CommonsBeanutils依赖的版本。
该工具仅用于安全自查检测
由于传播、利用此工具所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。
本人拥有对此工具的修改和解释权。未经网络安全部门及相关部门允许，不得善自使用本工具进行任何攻击活动，不得以任何方式将其用于商业目的。
该工具只授权于企业内部进行问题排查，请勿用于非法用途，请遵守网络安全法，否则后果作者概不负责