15672 - Pentesting RabbitMQ Management
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2088318145-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Frq9WIQinJaxpWMvakjIQ%252Fuploads%252Fgit-blob-ce4fbfd491ab398bd58639023728b416b0758bc1%252Fi3.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=9b767df6&sv=1)
Conseil de prime de bug : inscrivez-vous sur Intigriti, une plateforme de prime de bug premium créée par des pirates, pour des pirates ! Rejoignez-nous sur https://go.intigriti.com/hacktricks aujourd'hui, et commencez à gagner des primes allant jusqu'à 100 000 $ !
Informations de base
Vous pouvez en apprendre davantage sur RabbitMQ dans 5671,5672 - Pentesting AMQP. Sur ce port, vous pouvez trouver la console web de gestion RabbitMQ si le plugin de gestion est activé. La page principale devrait ressembler à ceci :
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2088318145-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Frq9WIQinJaxpWMvakjIQ%252Fuploads%252Fgit-blob-e732ec2b84a9a2c45fb6f86f8e06161e8dbd2c05%252Fimage%2520%28270%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=ba837401&sv=1)
Énumération
Les identifiants par défaut sont "guest":"guest". S'ils ne fonctionnent pas, vous pouvez essayer de forcer l'authentification.
Pour démarrer manuellement ce module, vous devez exécuter :
Une fois que vous vous êtes correctement authentifié, vous verrez la console d'administration :
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2088318145-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Frq9WIQinJaxpWMvakjIQ%252Fuploads%252Fgit-blob-8ed5aafe06384dd1b1732c5deba0ce865f00f285%252Fimage%2520%28271%29%2520%281%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=9578f819&sv=1)
De plus, si vous avez des identifiants valides, vous pourriez trouver intéressantes les informations de http://localhost:15672/api/connections
Notez également qu'il est possible de publier des données dans une file d'attente en utilisant l'API de ce service avec une requête comme suit :
Casser le Hash
Shodan
port:15672 http
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2088318145-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Frq9WIQinJaxpWMvakjIQ%252Fuploads%252Fgit-blob-ce4fbfd491ab398bd58639023728b416b0758bc1%252Fi3.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=9b767df6&sv=1)
Conseil de prime de bug: inscrivez-vous à Intigriti, une plateforme premium de prime de bug créée par des hackers, pour des hackers! Rejoignez-nous sur https://go.intigriti.com/hacktricks aujourd'hui, et commencez à gagner des primes allant jusqu'à 100 000 $!
Last updated