文章总结： ShiroAttack2针对Shiro550提供图形化一键利用，集成多版本CommonsBeanutils、内存马植入、回显命令执行、key爆破与自定义请求头，支持代理及DFS回显，可修改rememberMe关键词并内置小马，使用时需自建data/shiro_keys.txt并注意内存马可能干扰业务。 综合评分： 78 文章分类： 渗透测试,漏洞POC,红队,安全工具

shiro反序列化漏洞综合利用,包含（回显执行命令注入内存马）

W小哥

2026年1月16日 11:34 浙江

编者荐语：

文章是转载，工具获取，请关注”木吉他的鱼”获取

以下文章来源于木吉他的鱼 ，作者SummerSec

木吉他的鱼 .

专注渗透测试、漏洞挖掘、CTF竞赛解析等实战内容，深度还原攻防场景，分享一线安全工程师的实战经验。定期发布工具教程、案例复盘及攻防思维训练，助力安全从业者提升技术深度，打造攻防兼备的网络安全能力。

ShiroAttack2

一款针对Shiro550漏洞进行快速漏洞利用

前言

关于该工具更新内容介绍后续会更新到博客下面https://shiro.sumsec.me/

工具特点

·javafx

·处理没有第三方依赖的情况

·支持多版本CommonsBeanutils的gadget

·支持内存马

·采用直接回显执行命令

·添加了更多的CommonsBeanutils版本gadget

·支持修改rememberMe关键词

·支持直接爆破利用gadget和key

·支持代理

·添加修改shirokey功能（使用内存马的方式）可能导致业务异常

·支持内存马小马

·添加DFS算法回显（AllECHO）

·支持自定义请求头，格式：abc:123&&&test:123

FAQ 常见问题见

FAQ

使用方法

直接使用shiro_attack-{version}-SNAPSHOT-all.jar第三版

在jar的当前目录下创建一个data文件夹，里面创建一个shiro_keys.txt文件，文件内容是shiro_key。lib目前是CommonsBeanutils依赖的版本。

关注公众号回复“20260116”获取工具地址。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：W小哥 《shiro反序列化漏洞综合利用,包含（回显执行命令注入内存马）》