O documento apresenta uma palestra sobre exploração de vulnerabilidades no servidor de aplicação JBoss. Ele discute como o JBoss é frequentemente usado para hospedar portais, suas vulnerabilidades de segurança padrão e técnicas para mitigá-las, como habilitar autenticação e monitoramento de processos. O palestrante também fornece referências sobre como proteger especificamente a interface JMX do JBoss.

1. 03 e 04 de setembro 2011 – São Paulo/SP

2. Comendo JBoss com farinha!
Alexandro Silva
alexos@dclabs.com.br
http://alexos.org
http://www.dclabs.com.br

3. • Analista de Segurança;
• Professor na pós-graduação em Segurança da
Informação;
• Membro do DClabs.

4. JBoss é um servidor de aplicações Java baseado no
padrão J2EE. Ele é responsável pela hospedagem,
publicação e gerenciamento de portais corporativos.
● Muitos portais *.gov.br;
● Globo.com

5. Motivação
● (In)experiência;
● Auto aprendizado ;
●
Desafio.

6. Pesquisas anteriores
● Tyler Krpata – Defcon 18
● Christian Papathanasiou – BlackHat 10

7. ● Porque usar JBossAS?
● Fácil instalação;
● Bom conteúdo
estático;
● Excelente solução de
clustering;
● Segue totalmente o
padrão

8. Arquitetura

9. Integração do JMX-Console

10. JMX-Console

11. (IN)segurança
● O foco não é segurança;
● Instalação padrão vulnerável:
➔ Parar serviço ou servidor;
➔ Execução de software malicioso.

12. Exploits
● Exploits públicos:
● JBoss Autopwn por Christian
Papathanasiou – Trustwave Spiderlabs
● JBossAS Remote Exploit por Kingcope

13. Vitimas
inurl:"/jmx-console" intext:"JMX Agent View"

15. Ohh my F*cking God!!
How I resolve this???

16. Dicas

17. ● Mitigação ( Linux ):
● top;
● lsof -i;
● strace -fp [PID];
● Cuidado com o process syscom;

18. Mitigação
● Habilite a autenticação:
● JMX-Console
● Web-console

19. Referências
● Securing the JMX Console –
http://community.jboss.org/wiki/SecureTheJmxConsole
● JBossAS Admin Guide -
http://docs.jboss.org/jbossas/jboss4guide/r3/adminguide.pdf
● JBoss AS 6.0 Security Guide –
http://docs.jboss.org/jbosssecurity/docs/6.0/security_guide/html
_single/index.html

20. Contatos
Email: alexos@dclabs.com.br
Sites:
http://www.dclabs.com.br
http://alexos.org
Twitter:@alexandrosilva