阿一网络安全学院课堂作业——ActiveMQ 反序列化漏洞 (CVE-2015-5254)

⼀、漏洞描述

Apache ActiveMQ 是由美国阿帕奇（Apache）软件基⾦会开发的开源消息中间件，⽀持 Java 消息服

务、集群、Spring 框架等。属于消息队列组件(消息队列组件：分布式系统中的重要组件，主要解决应⽤

耦合、异步消息、流量削峰等)。

⼆、漏洞成因

Apache ActiveMQ 5.13.0版本之前到5.x版本的安全漏洞，该程序引起的漏洞不限制代理中可以序列化的

类。远程攻击者可以制作⼀个特殊的序列化 Java 消息服务 (JMS) ObjectMessage 对象，利⽤该漏洞执

⾏任意代码。

三、影响版本

Apache ActiveMQ 5.x ~ Apache ActiveMQ 5.13.0

四、利⽤限制

1.版本符合

2.⽴即执⾏代码：能够通过弱密码登录查看消息队列

3.没有查看队列所有消息的⽤户名和密码下，只能管理员/⽤户去点击我们插⼊的消息才能触发（⽐较鸡

肋，但可以写⼊创建⽤户命令等待管理员点击查看，概率很⼤！）

java要求：jdk1.8

安装教程： https://blog.youkuaiyun.com/Deadly_97/article/details/111657908

压缩包安装

java1.8环境配置

vim /stc/profile

命令⾏