1414 - Pentesting IBM MQ
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
Información básica
IBM MQ es una tecnología de IBM para gestionar colas de mensajes. Al igual que otras tecnologías de message broker, está dedicada a recibir, almacenar, procesar y clasificar información entre productores y consumidores.
Por defecto, expone el puerto TCP 1414 de IBM MQ. A veces, la API REST HTTP puede estar expuesta en el puerto 9443. Las métricas (Prometheus) también podrían ser accesibles desde el puerto TCP 9157.
El puerto TCP 1414 de IBM MQ se puede utilizar para manipular mensajes, colas, canales, ... pero también para controlar la instancia.
IBM proporciona una amplia documentación técnica disponible en https://www.ibm.com/docs/en/ibm-mq.
Herramientas
Una herramienta sugerida para una explotación fácil es punch-q, con uso de Docker. La herramienta utiliza activamente la biblioteca de Python pymqi
.
Para un enfoque más manual, utiliza la biblioteca de Python pymqi. Se necesitan dependencias de IBM MQ.
Instalando pymqi
Se necesitan instalar y cargar dependencias de IBM MQ:
Crea una cuenta (IBMid) en https://login.ibm.com/.
Descarga las bibliotecas de IBM MQ desde https://www.ibm.com/support/fixcentral/swg/selectFixes?parent=ibm%7EWebSphere&product=ibm/WebSphere/WebSphere+MQ&release=9.0.0.4&platform=All&function=fixId&fixids=9.0.0.4-IBM-MQC-*,9.0.0.4-IBM-MQ-Install-Java-All,9.0.0.4-IBM-MQ-Java-InstallRA&useReleaseAsTarget=true&includeSupersedes=0&source=fc. Para Linux x86_64 es 9.0.0.4-IBM-MQC-LinuxX64.tar.gz.
Descomprime (
tar xvzf 9.0.0.4-IBM-MQC-LinuxX64.tar.gz
).Ejecuta
sudo ./mqlicense.sh
para aceptar los términos de la licencia.
Si estás en Kali Linux, modifica el archivo
mqlicense.sh
: elimina/comenta las siguientes líneas (entre las líneas 105-110):
Instala estos paquetes:
Luego, agrega temporalmente los archivos
.so
a LD:export LD_LIBRARY_PATH=/opt/mqm/lib64
, antes de ejecutar otras herramientas que usen estas dependencias.
Luego, puedes clonar el proyecto pymqi: contiene fragmentos de código interesantes, constantes, ... O puedes instalar directamente la biblioteca con: pip install pymqi
.
Usando punch-q
Con Docker
Simplemente usa: sudo docker run --rm -ti leonjza/punch-q
.
Sin Docker
Clona el proyecto punch-q y luego sigue el readme para la instalación (pip install -r requirements.txt && python3 setup.py install
).
Después, se puede usar con el comando punch-q
.
Enumeración
Puedes intentar enumerar el nombre del gestor de colas, los usuarios, los canales y las colas con punch-q o pymqi.
Gestor de Colas
A veces, no hay protección contra la obtención del nombre del Gestor de Colas:
Channels
punch-q está utilizando una lista de palabras interna (modificable) para encontrar canales existentes. Ejemplo de uso:
Sucede que algunas instancias de IBM MQ aceptan solicitudes MQ no autenticadas, por lo que --username / --password
no son necesarios. Por supuesto, los derechos de acceso también pueden variar.
Tan pronto como obtenemos un nombre de canal (aquí: DEV.ADMIN.SVRCONN
), podemos enumerar todos los demás canales.
La enumeración se puede realizar básicamente con este fragmento de código code/examples/dis_channels.py
de pymqi:
... Pero punch-q también incorpora esa parte (¡con más información!). Se puede lanzar con:
Queues
Hay un fragmento de código con pymqi (dis_queues.py
) pero punch-q permite recuperar más información sobre las colas:
Exploit
Dump messages
Puedes apuntar a cola(s)/canal(es) para espiar / volcar mensajes de ellos (operación no destructiva). Ejemplos:
No dudes en iterar sobre todas las colas identificadas.
Ejecución de código
Algunos detalles antes de continuar: IBM MQ se puede controlar a través de múltiples formas: MQSC, PCF, Control Command. Se pueden encontrar listas generales en la documentación de IBM MQ. PCF (Formatos de Comando Programables) es en lo que nos enfocamos para interactuar de forma remota con la instancia. punch-q y además pymqi se basan en interacciones PCF.
Puedes encontrar una lista de comandos PCF:
Un comando interesante es
MQCMD_CREATE_SERVICE
y su documentación está disponible aquí. Toma como argumento unStartCommand
que apunta a un programa local en la instancia (ejemplo:/bin/sh
).También hay una advertencia sobre el comando en la documentación: "Atención: Este comando permite a un usuario ejecutar un comando arbitrario con autoridad mqm. Si se otorgan derechos para usar este comando, un usuario malicioso o descuidado podría definir un servicio que dañe sus sistemas o datos, por ejemplo, eliminando archivos esenciales."
Nota: siempre de acuerdo con la documentación de IBM MQ (Referencia de Administración), también hay un endpoint HTTP en
/admin/action/qmgr/{qmgrName}/mqsc
para ejecutar el comando MQSC equivalente para la creación de servicios (DEFINE SERVICE
). Este aspecto aún no se cubre aquí.
La creación / eliminación de servicios con PCF para la ejecución de programas remotos se puede hacer mediante punch-q:
Ejemplo 1
En los registros de IBM MQ, puedes leer que el comando se ejecutó con éxito:
También puedes enumerar los programas existentes en la máquina (aquí /bin/doesnotexist
... no existe):
Ten en cuenta que el lanzamiento del programa es asíncrono. Así que necesitas un segundo elemento para aprovechar la vulnerabilidad (listener para reverse shell, creación de archivos en un servicio diferente, exfiltración de datos a través de la red ...)
Ejemplo 2
Para una reverse shell fácil, punch-q también propone dos payloads de reverse shell:
Uno con bash
Uno con perl
Por supuesto, puedes construir uno personalizado con el comando execute
.
Para bash:
Para perl:
Custom PCF
Puedes profundizar en la documentación de IBM MQ y usar directamente la biblioteca de python pymqi para probar comandos PCF específicos que no están implementados en punch-q.
Example:
Si no puedes encontrar los nombres de las constantes, puedes consultar la documentación de IBM MQ.
Ejemplo para
MQCMD_REFRESH_CLUSTER
(Decimal = 73). Necesita el parámetroMQCA_CLUSTER_NAME
(Decimal = 2029) que puede ser*
(Doc: ):
Entorno de prueba
Si deseas probar el comportamiento y las explotaciones de IBM MQ, puedes configurar un entorno local basado en Docker:
Tener una cuenta en ibm.com y cloud.ibm.com.
Crear un IBM MQ en contenedor con:
Por defecto, la autenticación está habilitada, el nombre de usuario es admin
y la contraseña es passw0rd
(variable de entorno MQ_ADMIN_PASSWORD
). Aquí, el nombre del gestor de colas se ha establecido en MYQUEUEMGR
(variable MQ_QMGR_NAME
).
Deberías tener el IBM MQ en funcionamiento con sus puertos expuestos:
La versión antigua de las imágenes de docker de IBM MQ está en: https://hub.docker.com/r/ibmcom/mq/.
Referencias
Last updated