ActiveMQ漏洞利用总结

1.由于这个中间件会开放8363端口和61616端口，因此可以通过goby扫描，发现存在该服务的服务器，从而进行攻击。
2、由于ActiveMQ 5.0 及以后版本默认集成了jetty，因此也可以通过headers头信息中查看服务器信息判断，但这个不足以确定服务器安装了ActiveMQ。

弱口令

1. admin/admin
2. user/user

未授权访问

1./admin/connections.jsp

源代码泄露

http://www.example.com:8161//admin/index.jsp
http://www.example.com:8161//admin/queues.jsp
http://www.example.com:8161//admin/topics.jsp

xss漏洞

/admin/queueBrowse/example.A?view=rss&feedType=<script>alert("ACTIVEMQ")</script>

远程代码执行（CVE-2016-3088）

ActiveMQ的web控制台分三个应用，admin、api和fileserver，其中admin是管理员页面，api是接口，fileserver是储存文件的接口；admin和api都需要登录后才能使用，fileserver无需登录。fileserver是一个RESTful API接口，我们可以通过GET、PUT、DELETE等HTTP请求对其中存储的文件进行读写操作，其设计目的是为了弥补消息队列操作不能传输、存储二进制文件的缺陷。在5.12.x~5.13.x版本中，已经默认关闭了fileserver这个应用（你可以在conf/jetty.xml中开启之）；在5.14.0版本以后，彻底删除了fileserver应用。
漏洞原理：ActiveMQ 中的 FileServer 服务允许用户通过 HTTP PUT 方法上传文件到指定目录，构造PUT请求上传 webshell 到 fileserver 目录，然后通过 Move 方法将其移动到有执行权限的 admin/ 目录。
漏洞影响：Apache ActiveMQ 5.x ~ 5.14.0
漏洞利用流程
1、PUT上传

2、获取绝对路径

3、移动文件到admin目录或者api目录下，登录访问webshell

反序列化漏洞（CVE-2015-5254）

漏洞原理：Apache ActiveMQ 5.13.0之前5.x版本中存在安全漏洞，该漏洞源于程序没有限制可在代理中序列化的类。远程攻击者可借助特制的序列化的Java Message Service(JMS)ObjectMessage对象利用该漏洞执行任意代码。

工具:https://github.com/matthiaskaiser/jmet/releases/download/0.1.0/jmet-0.1.0-all.jar

漏洞利用流程

构造（可以使用ysoserial）可执行命令的序列化对象
作为一个消息，发送给目标61616端口
访问web管理页面，读取消息，触发漏洞