joombrute

JoomBrute

مجموعة أدوات هجوم المصادقة الحديثة لجوملا
J3 / J4 / J5 - CVE-2023-23752 · CVE-2023-23755 · CVE-2025-25227

الوصف

مجموعة أدوات هجمات بيانات الاعتماد لجوملا تغطي إصدارات CMS 3 و4 و5. تتعامل ستة أوامر فرعية مع سلسلة الهجوم الكاملة من البداية إلى النهاية:

• detect - بصمة الإصدار (manifest XML → generator meta → admin markup)
• enum - CVE-2023-23752 حصاد API غير مصادق عليه: أسماء المستخدمين، مضيف/مستخدم/كلمة مرور قاعدة البيانات، بيانات اعتماد SMTP، سر التطبيق
• brute - هجوم القوة الغاشمة المتزامن على تسجيل دخول المشرف مع عزل الجلسة لكل عامل وتصنيف بأربع نتائج (success / mfa-required / invalid / blocked)
• mfa-brute - CVE-2023-23755 هجوم شامل على رمز TOTP المكوّن من 6 أرقام على شاشة MFA الإلزامية
• mfa-bypass - CVE-2025-25227 تجاوز MFA عبر view=methods (وأربعة عروض/مهام مرشحة أخرى) على الجلسة نصف المصادقة
• chain - تحكم تلقائي كامل: detect → enum → brute → تحول تلقائي لتجاوز MFA عندما يصل التخمين إلى شاشة إلزامية

ملف تنفيذي ثابت واحد، بدون تبعيات وقت التشغيل. تزامن أصلي عبر goroutines مع مخازن ملفات تعريف الارتباط لكل عامل. إخراج JSONL لاستيراد SIEM. دعم بروكسي HTTP/HTTPS/SOCKS5. تم التحقق من النهاية إلى النهاية ضد مختبرات Docker لجوملا 3.10 و4.2.7 و5.4.6.

التثبيت

# Option A - Go install (requires Go 1.22+)
go install github.com/rvzsec/joombrute/cmd/joombrute@latest

# Option B - Pre-built binary from releases
curl -L -o joombrute https://github.com/rvzsec/joombrute/releases/latest/download/joombrute-linux-amd64
chmod +x joombrute

# Option C - Build from source
git clone https://github.com/rvzsec/joombrute
cd joombrute
make

الاستخدام

joombrute detect      -u <target>
joombrute enum        -u <target>
joombrute brute       -u <target> --user admin -w rockyou.txt -c 20
joombrute mfa-brute   -u <target> --user admin --password <pw> -c 50
joombrute mfa-bypass  -u <target> --user admin --password <pw>
joombrute chain       -u <target> -w rockyou.txt -c 20

# JSONL output for piping / SIEM ingest
joombrute --json brute -u <target> --user admin -w rockyou.txt > hits.jsonl

تغطية CVE

CVE-2025-25227 يستغل MultiFactorAuthenticationHandler::needsMultiFactorAuthenticationRedirection() الذي يستدعي isMultiFactorAuthenticationPage() بدون علامة $onlyCaptive - قائمة الإعفاء من التجاوز تتضمن بصمت عروض إدارة MFA (view=methods، view=method، view=callback، task=method.add …) والتي يمكن لجلسة نصف مصادقة الانتقال إليها دون حل تحدي الشاشة الإلزامية.

الأوامر الفرعية

• detect - تحديد البصمة عبر ملف البيان joomla.xml → <meta name="generator"> → ترميز لوحة الإدارة
• enum - CVE-2023-23752 حصاد API بدون مصادقة (أسماء المستخدمين، مضيف/مستخدم/كلمة مرور قاعدة البيانات، SMTP، سر التطبيق)
• brute - هجوم القوة الغاشمة على نموذج المشرف، عزل الجلسة لكل عامل، تصنيف بأربع نتائج (success / mfa-required / invalid / blocked)
• mfa-brute - CVE-2023-23755 تخمين رمز TOTP المكوّن من 6 أرقام على الشاشة الإلزامية
• mfa-bypass - CVE-2025-25227 اختبار تجاوز فحص الحالة (غير مدمر)
• chain - تلقائي بالكامل: detect → enum → brute → فحص تجاوز MFA

المختبر

make lab           # docker compose up + seed J3.10 / J4.2.7 / J5.x with admin user
make smoke         # end-to-end against all three (no MFA)
make lab-mfa       # seed a known TOTP secret on J4 admin (for mfa-* tests)
make smoke-mfa     # brute -> mfa-required, mfa-bypass VULN, chain auto-pivot
make lab-mfa-off   # remove the MFA record (back to plain admin)
make lab-down      # tear it all down

مثبّت المختبر يتجاوز مثبّت الويب الخاص بجوملا تمامًا - يحمّل SQL التثبيت مباشرة في MySQL، ويُدرج مستخدم مشرف (admin / admin1234)، ويكتب configuration.php بسيطًا. يستخدم seed_mfa.php تشفير AES-128-CBC + المفتاح السري الخاص بجوملا بحيث تتمكن نقطة النهاية الإلزامية من فك تشفيره بشكل صحيح. للمختبر فقط - يفترض كلا السكربتين أسماء حاويات joombrute-* القياسية من lab/docker-compose.yml.

مصفوفة البناء

make all
# produces dist/joombrute-{linux,darwin,windows}-{amd64,arm64} statically linked

الإشعار القانوني

لأغراض اختبار الأمان المصرح به فقط. شغّله فقط ضد أنظمة لديك إذن كتابي صريح لاختبارها. يولّد حركة مرور سيلتقطها أي نظام كشف اختراق (IDS). يتنصل القائمون على الصيانة من كل مسؤولية عن إساءة الاستخدام.

الشكر والتقدير

رافيندو ويكراماسينغه | rvz (@rvzsec) · www.zyenra.com

مفهوم هجوم القوة الغاشمة الأصلي لجوملا 3: @ajnik بحث سلسلة CVE-2023-23752: VulnCheck