XiuScan

XiuScan

不完善，仅供娱乐和学习，不建议作为漏扫使用

介绍

一个纯Golang编写基于命令行的Java框架漏洞扫描工具

致力于参考xray打造一款高效方便的漏扫神器

计划支持Fastjson、Shiro、Struts2、Spring、WebLogic等框架

PS: 取名为XiuScan因为带我入安全的大哥是修君

特点

• 类似xray，直接提供一个可执行文件（例如exe）无需配置环境或下载依赖

• 使用ceye.io平台做无回显漏洞验证，提供api和token即可自动化检测

• 参考xray完成RMI反连平台，用于检测Fastjson等无回显漏洞

• 动态生成Payload不依赖ysoserial和java环境，参考：https://github.com/EmYiQing/Gososerial

Start

Shiro

Shiro一把梭检测，无害化命令，使用命令shiro

使用ceye.io：./xiuscan shiro -ci xxxxxx.ceye.io -ct your_ceye_token -t http://www.xxx.com

不借助ceye，直接检测密钥并进行TomcatEcho回显检测：./xiuscan shiro -t http://www.xxx.com

Fastjson

Fastjson扫描支持dnslog和反连平台，使用命令fastjson

使用ceye.io：./xiuscan fastjson -ci xxxxxx.ceye.io -ct your_ceye_token -t http://www.xxx.com

使用反连平台：./xiuscan fastjson -rh 192.168.222.1 -rp 60006 -t http://192.168.222.132:8090

说明：

• 靶机是虚拟机，ip为192.168.222.132，本机是192.168.222.1，不能写127.0.0.1或0.0.0.0
• 如果靶机跑在本地，ip为127.0.0.1，那么rh参数可以是127.0.0.1
• 如果XiuScan跑在公网，那么rh参数应该设置为公网ip，并且rp参数对应的端口应开放安全组

Struts2

Struts2系列漏洞扫描，无害化命令检测，使用命令struts2

查看已支持模块：./xiuscan struts2 --list

目前还不能扫描，只完成了所有测试用例，预计下月完善扫描逻辑

免责申明

未经授权许可使用XiuScan攻击目标是非法的

本程序应仅用于授权的安全测试与研究目的