تست نفوذ برنامه های جاوا با JexBoss

[ground_master]

با سلام
در این پست به معرفی برنامه JexBoss خواهیم پرداخت.

JexBoss ابزاری است که به وسیله آن میتوانید برنامه JBoss Application Server و دیگر پلتفرمهای جاوا، فریمورک ها و برنامههای جانبی تحت جاوا را تست نفوذ نمایید.

JexBoss با زبان پایتون طراحی و پیاده سازی شده است و برای اجرا به نسخه 2.7 آن نیاز دارد. urllib3 و ipaddress دیگر نیازمندی های این برنامه هستند.

امکانات و آسیبپذیری های قابل پشتیبانی

• پشتیبانی از نسخههای 3، 4 ، 5 و 6 برنامه jboss server
• قابلیت کشف آسیب پذیری های Java Deserialization در پلتفرم و برنامههای جاوا
• تست آسیب پذیری Apache Struts2 (شناسه CVE-2017-5638)
• تست کشف Servlet Deserialization و Application Deserialization
• تست آسیب پذیری JMXInvokerServlet
• تست آسیب پذیری Invoker
• تست آسیب پذیری jmx-console
• تست آسیب پذیری های admin-console

آموزش نصب در ویندوز
برای راهاندازی و اجرای برنامهی JexBoss در ویندوز، علاوه بر پایتون به Git Bash نیز نیاز داریم که از این لینک قابل دانلود است.
پس از نصب پایتون و git دستورات زیر را به ترتیب در CMD وارد نمایید.

PATH=$PATH:C:\Python27\
PATH=$PATH:C:\Python27\Scripts
git clone https://github.com/joaomatosf/jexboss.git
cd jexboss
pip install -r requires.txt
python jexboss.py -h
python jexboss.py -host http://target_host:8080

[ground_master]

آموزش نصب در لینوکس و مک

برای نصب jexboss در مک یا لینوکس به دو روش زیر میتوانید اقدام نمایید :

1- نصب اتوماتیک با git clone

git clone https://github.com/joaomatosf/jexboss.git
cd jexboss
pip install -r requires.txt
python jexboss.py -h
python jexboss.py -host http://target_host:8080

2- نصب دستی :

 [LEFT]
Download the latest version at: https://github.com/joaomatosf/jexboss/archive/master.zip
unzip master.zip
cd jexboss-master
pip install -r requires.txt
python jexboss.py -h
python jexboss.py -host http://target_host:8080[/LEFT]

انواع حالات اسکن در برنامه

1- حالت اسکن شبکه

$ python jexboss.py -mode auto-scan -network 192.168.0.0/24 -ports 8080 -results results.txt

2- حالت اسکن شبکه به همراه اکسپلویت کردن اتوماتیک

$ python jexboss.py -mode auto-scan -A -network 192.168.0.0/24 -ports 8080 -results results.txt

3- حالت اسکن اتوماتیک

$ python jexboss.py -mode auto-scan -network 192.168.0.0/24 -ports 8080,80 -results report_auto_scan.log

4- حالت اسکن تست فایل

$ python jexboss.py -mode file-scan -file host_list.txt -out report_file_scan.log