SCAT

HP SiteScope 凭据获取工具

这是什么？

一个利用默认 HP SiteScope（v11.32 等）安装中的远程代码执行漏洞，窃取 SiteScope 中存储的凭据的工具。

什么远程代码执行漏洞？

HP SiteScope 默认启用 Java 管理扩展（JMX），并在端口 28006 上禁用认证。

这个漏洞是否已知？

是也不是。SiteScope 的帮助页面讨论了在安装过程中将 JMX 认证启用作为一个可选步骤，并给出了一个模糊的警告，称管理员可能需要防止未授权访问，但其后果可能并不立即明确。

我如何使用这个工具？

java -jar SCAT.jar ip.or.fqdn.here

如果我仅仅想运行 Mimikatz 呢？

虽然你可能会错过 SiteScope 为远程主机保存的凭据，但你可以运行 Metasploit 的 exploit/multi/misc/java_jmx_server 模块来获得一个 shell，在默认的 Windows 安装中，该 shell 将以 SYSTEM 身份运行。

SiteScope 用户应该怎么做？

阅读帮助页面，并确保你已遵循关于为 JMX 启用认证的说明。

HP 能做些什么来修复这个问题？

有几件事可能会有所帮助。他们可以禁用 MLet MBean，或者严格限制 MLet MBean 允许实例化的 MBean。他们可以默认禁用远程 JMX 功能，或者默认启用认证，并使用安装时随机生成的密码。