项目-漏洞检测与缓解_101

Apache ActiveMQ 反序列化远程代码执行 (CVE-2023-46604) – 第二阶段项目

安全架构与系统管理

作者: [Vaishnavu C V] · 日期: 2025年9月17日

状态: ⌀ 第二阶段交付物已完成

---

概述

本仓库记录了一个专注于 Apache ActiveMQ (Classic) 中 CVE‑2023‑46604 的手动安全设计项目。它包括对漏洞的清晰解释、深入的技术笔记、影响评估、受影响的系统、检测 和 缓解 设计，以及一份适合大学提交的综合设计报告。

---

快速链接

• →→ 第二阶段设计报告（单一文件） → phase_2_design_report.md

• →→ 所有章节（模块化）：

  • 引言 → phase_2_intro.md
  • 漏洞解释 → phase_2_vulnerability_explanation.md
  • 技术细节 → phase_2_technical_detail.md
  • 影响 → phase_2_impact.md
  • 受影响的系统 → phase_2_affected_systems.md
  • 检测设计 → phase_2_detection_design.md
  • 缓解设计 → phase_2_mitigation_design.md
  • 结论 → phase_2_conclusion.md
  • 参考 → phase_2_references.md

---

仓库结构

.
├── phase_2_design_report.md
├── phase_2_intro.md
├── phase_2_vulnerability_explanation.md
├── phase_2_technical_detail.md
├── phase_2_impact.md
├── phase_2_affected_systems.md
├── phase_2_detection_design.md
├── phase_2_mitigation_design.md
├── phase_2_conclusion.md
└── phase_2_references.md

flowchart LR
  A[Internet attacker] -->|OpenWire 61616<br/>malicious serialized payload| B[(ActiveMQ Broker)]
  A -->|Scanning and recon| F[Firewall and ACLs]
  F --> B

  B -->|Traffic mirror or syslog| C[IDS or IPS Suricata Snort]
  B -->|Conn logs| D[Zeek anomaly logs]
  B -->|App logs| E[ActiveMQ logs]

  C -->|Alert| J[(SIEM)]
  D -->|Alert| J
  E -->|Alert| J
  J -->|Correlation and auto action| G[Fail2ban auto ban]
  G -. block .- F

  H[Container sandbox non root AppArmor] --- B
  I[Protocol restriction disable OpenWire] --- B

  classDef detect fill:#eef7ff,stroke:#82b1ff,color:#0a3d62;
  classDef ctrl fill:#eefbee,stroke:#6bbf59,color:#0a3d62;
  classDef siem fill:#fff7e6,stroke:#f5a623,color:#6b3e00;

  class C,D,E detect;
  class F,G,H,I ctrl;
  class J siem;

---

如何使用此仓库

1. 阅读单文件报告： 如果您正在审阅以进行评估，请从 phase_2_design_report.md 开始。

2. 按章节深入： 使用上面列出的模块化文件来审阅特定部分（例如，直接跳到检测或缓解）。

3. 重现实验室（可选）：

   • 使用 分段测试网络 和 隔离的虚拟机/容器 进行任何概念验证实验。
   • 从外部阻止或严格限制 TCP/61616。
   • 生产中优先使用已修补的 ActiveMQ 版本；将易受攻击的版本 气隙隔离 仅用于研究。

→→ 安全提示： 任何利用步骤 必须 仅在 合法、受控的实验室 中执行，切勿在生产环境或您不拥有/操作的系统中执行。

---

评分对照

• 漏洞解释（4 分） → phase_2_vulnerability_explanation.md

• 检测 + 缓解设计（6 分） → phase_2_detection_design.md 和 phase_2_mitigation_design.md

• 评判标准（适用性、实用性、原创性、可行性、清晰度） 通过以下方式体现：

  • 清晰的网络/应用层检测路径、示例 IDS/Zeek/SIEM 工作流。
  • 针对实际部署的实用防火墙、协议、容器和自动封锁控制措施。
  • 包含原始关联思路和用于事件响应的模拟工件。

---

快速上手（实验室安全检查清单）

• 网络： 专用 VLAN/子网；限制东西向流量。
• 主机： 带有容器运行时的 Linux 虚拟机。
• 日志记录： 将 ActiveMQ/主机/网络日志转发到您的 SIEM/ELK。
• 控制措施： 测试前准备好 fail2ban、ACL 规则和容器配置文件。

---

许可

本教育内容仅供学术、非商业用途。请遵守您所在机构的政策和当地法律。

---