Japanese - Ht

1883 - Pentesting MQTT (Mosquitto)

htARTE（HackTricks AWS Red Team Expert）を通じて、ゼロからヒーローまでAWSハッキングを学びましょう

HackTricksをサポートする他の方法：

WhiteIntel

WhiteIntelは、ダークウェブを活用した検索エンジンであり、企業やその顧客がスティーラーマルウェアによって侵害されていないかをチェックするための無料機能を提供しています。

WhiteIntelの主な目標は、情報窃取マルウェアによるアカウント乗っ取りやランサムウェア攻撃と戦うことです。

彼らのウェブサイトをチェックし、無料でエンジンを試すことができます：

基本情報

**MQ Telemetry Transport（MQTT）は、パブリッシュ/サブスクライブメッセージングプロトコルとして知られ、その極端な単純さと軽さが特徴です。このプロトコルは、デバイスが能力が限られており、低帯域幅、高遅延、または信頼性の低い接続が特徴付けられるネットワーク上で動作する環境に特に適しています。MQTTの主な目標には、ネットワーク帯域幅の使用を最小限に抑え、デバイスリソースへの需要を減らすことが含まれます。さらに、信頼性のある通信を維持し、一定レベルの配信保証を提供することを目指しています。これらの目標により、MQTTは機械間通信（M2M）およびモノのインターネット（IoT）**の急成長する分野に非常に適しており、効率的に多くのデバイスを接続することが不可欠です。さらに、帯域幅とバッテリー寿命を節約することが重要なモバイルアプリケーションにとって、MQTTは非常に有益です。

デフォルトポート: 1883

PORT     STATE SERVICE                 REASON
1883/tcp open  mosquitto version 1.4.8 syn-ack

トラフィックの検査

MQTTブローカーがCONNECTパケットを受信すると、CONNACKパケットが返送されます。このパケットには接続状態を理解するために重要な戻り値が含まれています。0x00の戻り値は、資格情報が受け入れられたことを示し、成功した接続を意味します。一方、0x05の戻り値は、資格情報が無効であることを示し、したがって接続を阻止します。

たとえば、ブローカーが無効な資格情報のために接続を拒否する場合、シナリオは次のようになります：

{
"returnCode": "0x05",
"description": "Connection Refused, not authorized"
}

Brute-Force MQTT

MQTTのペンテスト

認証は完全にオプションであり、認証が行われていてもデフォルトでは暗号化されていません（資格情報は平文で送信されます）。MITM攻撃は依然として実行可能で、パスワードを盗むことができます。

MQTTサービスに接続するには、https://github.com/bapowell/python-mqtt-client-shellを使用し、次の操作を行います：

> connect (NOTICE that you need to indicate before this the params of the connection, by default 127.0.0.1:1883)
> subscribe "#" 1
> subscribe "$SYS/#"

以下のリンクを使用することもできます: https://github.com/akamai-threat-research/mqtt-pwn

apt-get install mosquitto mosquitto-clients
mosquitto_sub -t 'test/topic' -v #Subscribe to 'test/topic'
mosquitto_sub -h <host-ip> -t "#" -v #Subscribe to ALL topics.

または、このコードを実行して、認証なしでMQTTサービスに接続し、すべてのトピックにサブスクライブしてリスンすることができます:

#This is a modified version of https://github.com/Warflop/IOT-MQTT-Exploit/blob/master/mqtt.py
import paho.mqtt.client as mqtt
import time
import os

HOST = "127.0.0.1"
PORT = 1883

def on_connect(client, userdata, flags, rc):
client.subscribe('#', qos=1)
client.subscribe('$SYS/#')

def on_message(client, userdata, message):
print('Topic: %s | QOS: %s  | Message: %s' % (message.topic, message.qos, message.payload))

def main():
client = mqtt.Client()
client.on_connect = on_connect
client.on_message = on_message
client.connect(HOST, PORT)
client.loop_start()
#time.sleep(10)
#client.loop_stop()

if __name__ == "__main__":
main()

もっと情報

ここから: https://morphuslabs.com/hacking-the-iot-with-mqtt-8edaf0d07b9b

パブリッシュ/サブスクライブパターン

パブリッシュ/サブスクライブモデルは以下で構成されています:

  • パブリッシャー: メッセージをブローカー内の1つ（または複数）のトピックに公開します。

  • サブスクライバー: ブローカー内の1つ（または複数）のトピックに購読し、パブリッシャーから送信されたすべてのメッセージを受信します。

  • ブローカー: パブリッシャーからのすべてのメッセージをサブスクライバーにルーティングします。

  • トピック: 1つ以上のレベルで構成され、スラッシュ（例: /smartshouse/livingroom/temperature）で区切られています。

パケット形式

すべてのMQTTパケットには固定ヘッダーが含まれています（図02）。図02: 固定ヘッダー

パケットタイプ

  • CONNECT（1）: クライアントがサーバーへの接続を要求するために開始されます。

  • CONNACK（2）: 成功した接続のサーバーからの確認です。

  • PUBLISH（3）: クライアントからサーバー、またはその逆にメッセージを送信するために使用されます。

  • PUBACK（4）: PUBLISHパケットの確認です。

  • PUBREC（5）: メッセージが受信されたことを確認するメッセージ配信プロトコルの一部です。

  • PUBREL（6）: メッセージ配信のさらなる確認で、メッセージリリースを示します。

  • PUBCOMP（7）: メッセージ配信プロトコルの最終部分で、完了を示します。

  • SUBSCRIBE（8）: クライアントがトピックからのメッセージの受信を要求します。

  • SUBACK（9）: SUBSCRIBEリクエストのサーバーからの確認です。

  • UNSUBSCRIBE（10）: クライアントが特定のトピックからのメッセージの受信を停止するために要求します。

  • UNSUBACK（11）: UNSUBSCRIBEリクエストへのサーバーの応答です。

  • PINGREQ（12）: クライアントが送信するハートビートメッセージです。

  • PINGRESP（13）: ハートビートメッセージへのサーバーの応答です。

  • DISCONNECT（14）: クライアントが接続を終了するために開始します。

  • 0と15の2つの値は予約されており、使用が禁止されています。

Shodan

  • port:1883 MQTT

WhiteIntel

WhiteIntelはダークウェブを活用した検索エンジンで、企業やその顧客がスティーラーマルウェアによって侵害されていないかを確認するための無料機能を提供しています。

WhiteIntelの主な目標は、情報窃取マルウェアによるアカウント乗っ取りやランサムウェア攻撃に対抗することです。

彼らのウェブサイトをチェックし、無料でエンジンを試すことができます:

**htARTE（HackTricks AWS Red Team Expert）**で**ゼロからヒーローまでAWSハッキングを学ぶ**

HackTricksをサポートする他の方法:

Previous1723 - Pentesting PPTPNext2049 - Pentesting NFS Service

Last updated