🚀 复现步骤

1. 配置攻击载荷 (payload.xml)

在攻击机上打开 payload.xml，找到以下部分：

将其中的 IP 替换为您的云服务器公网 IP。如果目标环境中没有 bash，请根据目标环境情况更改为 sh 或其他执行方式。

2. 开启反弹 Shell 监听

在攻击机（云服务器）上开启一个终端，监听指定的端口（例如 15000）：

注意：确保云服务器的安全组/防火墙已经放行了入站 TCP 15000 端口。

3. 开启 HTTP 服务托管载荷

在攻击机上（与 payload.xml 同级的目录），开启一个 HTTP 服务器以供目标下载 XML 文件：

注意：同样需要确保云服务器的安全组/防火墙已经放行了入站 TCP 9000 端口。

4. 执行漏洞利用脚本

在本地机器（或攻击机）上运行 payload.py。 脚本支持通过命令行参数传入目标 ActiveMQ 的 IP:端口 (-t) 和攻击机托管 XML 的 IP:端口 (-a)。

运行后，脚本会自动生成一个随机的 brokerName（例如 rce_a1b2c3），以彻底解决 java.io.IOException : Network Connector could not be registered in JMX 的名称冲突报错问题。

5. 获得 Shell

如果利用成功：

1. 您的 HTTP 服务端（python3 -m http.server 9000）会看到一条对 /payload.xml 的 GET 200 请求记录。
2. 您的 nc 监听端将收到来自目标机器的反弹 Shell 连接。

⚠️ 常见问题排查

1. 成功获取 XML（HTTP 200），但没收到 Shell：
   • 原因A：云服务器安全组拦截了反弹的 Shell（入站流量未放行 15000 端口）。
   • 原因B：目标容器内没有 /bin/bash 命令（常见于 Alpine 等精简基础镜像）。请将 payload.xml 中的执行命令修改为 /bin/sh，或者通过 wget/curl 落地脚本再执行。
2. 目标报错 401 Unauthorized：

• 原因：高版本的 ActiveMQ / Jolokia 接口需要提供账号密码认证。
• 解决：如果是默认凭据，可以在请求中加上 Basic Auth（如 admin:admin）。

🛡️ 免责声明

本脚本和说明仅供授权的安全测试和教育学习使用。严禁用于任何未经授权的非法测试。使用者需对自身的行为负责。