O modo de enumeração (-enum) extrai detalhes de objetos expostos por meio de um serviço de registro RMI e lista quaisquer ataques conhecidos que afetam o endpoint.

O modo de ataque (-attack) primeiro enumera os alvos fornecidos e, em seguida, fornece um sistema de menu para lançar ataques conhecidos contra serviços RMI.

Um único alvo pode ser especificado na linha de comando. Alternativamente, o BaRMIe pode extrair alvos de um arquivo de texto simples ou da saída do nmap.

Nenhum Alvo Vulnerável Identificado?

Ótimo! Esta é sua oportunidade de ajudar a melhorar o BaRMIe! O BaRMIe depende de algum conhecimento das classes expostas via RMI, então contribuições ajudarão muito a melhorar o BaRMIe e a segurança dos serviços RMI.

Se você tiver acesso a arquivos JAR ou código-fonte da aplicação alvo, produzir um ataque é tão simples quanto compilar código contra os arquivos JAR relevantes. Recupere o objeto remoto relevante usando as classes LocateRegistry e Registry e chame os métodos desejados. Alternativamente, procure por métodos remotos que aceitam objetos arbitrários ou parâmetros não primitivos, pois estes podem ser usados para entregar payloads de desserialização. Mais documentação sobre ataque a RMI e produção de ataques para BaRMIe estará disponível em breve.

Alternativamente, entre em contato, fornecendo o máximo de detalhes possível, incluindo a saída do BaRMIe -enum e, idealmente, os arquivos JAR relevantes.

Tipos de Ataque

O BaRMIe é capaz de realizar três tipos de ataques contra serviços RMI. Uma breve descrição de cada um segue. Mais detalhes técnicos serão publicados em breve em https://nickbloor.co.uk/. Além disso, apresentei os resultados da minha pesquisa na 44CON 2017 e os slides podem ser encontrados aqui: BaRMIe - Poking Java's Back Door.

1. Atacando Métodos Inseguros

O primeiro e mais direto método de atacar serviços RMI inseguros é simplesmente chamar métodos remotos inseguros. Frequentemente, funcionalidades perigosas são expostas via RMI, que podem ser acionadas simplesmente recuperando a referência do objeto remoto e chamando o método perigoso. O código a seguir é um exemplo disso:

2. Desserialização via Parâmetros do Tipo Object

Alguns serviços RMI não expõem funcionalidades perigosas, ou implementam controles de segurança como autenticação e gerenciamento de sessão. Se o serviço RMI expõe um método que aceita um Object arbitrário como parâmetro, então o método pode ser usado como ponto de entrada para ataques de desserialização. Alguns exemplos de tais métodos podem ser vistos abaixo:

3. Desserialização via Invocação de Método Ilegal

Devido ao uso de serialização e ao tratamento inseguro de parâmetros de métodos no servidor, é possível usar qualquer método com tipos de parâmetro não primitivos como ponto de entrada para ataques de desserialização. O BaRMIe consegue isso usando proxies TCP para modificar os parâmetros dos métodos no nível da rede, essencialmente acionando invocações de método ilegais. Alguns exemplos de métodos vulneráveis podem ser vistos abaixo:

Os parâmetros de cada um desses métodos podem ser substituídos por um payload de desserialização à medida que a invocação do método passa por um proxy. Este ataque é possível porque o Java não tenta verificar se os parâmetros de método remoto recebidos pela rede são compatíveis com os tipos de parâmetro reais antes de desserializá-los.