SCAT

HP SiteScope 자격 증명 획득 도구

이것은 무엇인가요?

기본 HP SiteScope(v11.32 등) 설치 환경의 원격 코드 실행 취약점을 악용하여 SiteScope에 저장된 자격 증명을 탈취하는 도구입니다.

어떤 원격 코드 실행 취약점인가요?

HP SiteScope는 기본적으로 28006 포트에서 인증이 비활성화된 상태로 Java Management Extensions를 활성화합니다.

이 취약점이 알려져 있나요?

예, 아니요. SiteScope 도움말 페이지에서는 설치 중 선택적 단계로 JMX 인증 활성화를 설명하며, 관리자가 무단 접근을 방지하기를 원할 수 있다는 모호한 경고를 제공하지만, 그 결과가 즉시 명확하지 않을 수 있습니다.

이 도구를 어떻게 사용하나요?

java -jar SCAT.jar ip.or.fqdn.here

그냥 Mimikatz를 실행하고 싶다면?

SiteScope가 원격 호스트에 대해 보유한 자격 증명은 놓칠 수 있지만, Metasploit의 exploit/multi/misc/java_jmx_server 모듈을 실행하여 셸을 얻을 수 있으며, 기본 Windows 설치 환경에서는 SYSTEM으로 실행됩니다.

SiteScope 사용자는 무엇을 해야 하나요?

도움말 페이지를 읽고 JMX 인증 활성화 지침을 따랐는지 반드시 확인하세요.

HP는 이 문제를 어떻게 해결할 수 있나요?

몇 가지 방법이 도움이 될 수 있습니다. MLet MBean을 비활성화하거나 MLet MBean이 인스턴스화할 수 있는 MBean을 엄격히 제한할 수 있습니다. 기본적으로 원격 JMX 기능을 비활성화하거나 설치 시 무작위로 생성된 비밀번호로 인증을 기본 활성화할 수 있습니다.