jEG - 高度自定义的 Java 回显生成工具

0x01 工具简介jEG (Java Echo Generator ) 是一款支持高度自定义的 Java 回显载荷生成工具。功能介绍支持的中间件和框架Tomcat/Resin/Jetty/WebLogic/WebSphere/UndertowSpringMVC/Struts2支持的执行模式 (Command/Code)支持的输出格式 (BASE64/BCEL/BIGINTEGER/CLASS/JAR/JS)执行模式命令执行回显代码执行回显（toString）工作模式作为 独立的 GUI 工具作为 woodpecker 的插件作为 第三方库下载地址https://github.com/pen4uin/java-echo-generator-release0x02 工具演示两种执行模式命令执行0、测试环境说明Tomcat v8.5.91JDK 8原生反序列化漏洞CommonsBeanutils21、生成对应命令执行回显的 payload，继承 AbstractTranslet2、使用 yso 进行序列化利用封装java -jar ysoserial-for-woodpecker-0.5.3-all.jar -g CommonsBeanutils2 -a "class_file:/Users/NotFound/Temp/SessionDataUtil.class" | base643、通过请求头 Cache-Control-Ymirvesoc 传入需要执行的命令，如图，命令成 ………………………………