建议增加jrmp延时 about shiroexploit-deprecated HOT 8 CLOSED

不出网目前还是通过回显的方式来解决吧，这2天会更新一个新版本，增加更多的回显方式。

写shell的函数可以通过简单修改 ysoserial.payloads.util.Gadgets.createTemplatesImpl 方法来实现

from shiroexploit-deprecated.

嗯，看到师傅的代码了。有些是spring-boot的没法写js到目录。看到一个师傅的回显项目不错，师傅可以参考下“https://blog.csdn.net/fnmsd/article/details/106709736?from=timeline”

from shiroexploit-deprecated.

你讲的很对，spring-boot不行，你给出的这个参考链接我试过，在 readme 里面有提及。我采用的方式是（1）在本地读取class文件，写入到 classpath 下面（https://github.com/feihong-cs/deserizationEcho/blob/master/%E5%85%A8%E8%87%AA%E5%8A%A8%E6%8C%96%E6%8E%98%20request%20%E5%9B%9E%E6%98%BE/code/Step1.jsp） （2）利用发射 Class.forName().newInstance() 去执行（https://github.com/feihong-cs/deserizationEcho/blob/master/%E5%85%A8%E8%87%AA%E5%8A%A8%E6%8C%96%E6%8E%98%20request%20%E5%9B%9E%E6%98%BE/code/Step1.jsp）。之前测试的时候发现效果不好，不知道是不是由于后面作者自己说的没有考虑到 response 和 request 对应的问题，作者后面改了下代码，改好过后的我还没测试过。但是我的这种方法似乎也没法适用于 spring-boot，师傅可有好的思路可以借鉴下？

from shiroexploit-deprecated.

可能没啥好办法了，只能上内存shell感觉师傅

from shiroexploit-deprecated.

目前发布了一个新版本，目前支持了多种回显方式，其中包括 Spring 回显，师傅可以帮忙测试看看

from shiroexploit-deprecated.

即将关闭此issue

from shiroexploit-deprecated.

师傅牛逼。这边看到有师傅发了针对不出网的key检测方式。key正确情况下不返回 deleteMe ，key错误情况下返回deleteMe。感觉可行，参考https://mp.weixin.qq.com/s/do88_4Td1CSeKLmFqhGCuQ，具体代码没看懂，感觉师傅应该可以。

from shiroexploit-deprecated.

看到师傅已经增加，tql了

from shiroexploit-deprecated.