[<img src=“https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/c29508a99d1b4c5ca2374379d3daa583~tplv-k3u1fbpfcp-zoom-in-crop-mark:4536:0:0:0.image)](https://link.juejin.cn/?target=https%3A%2F%2Fwww.oschina.net%2Faction%2FGoToLink%3Furl%3Dhttps%253A%252F%252Fdocs.qq.com%252Fdoc%252FDVFNpaGJvRFJiQ2Ro “https://www.oschina.net/action/GoToLink?url=https%3A%2F%2Fdocs.qq.com%2Fdoc%2FDVFNpaGJvRFJiQ2Ro”” style=“margin: auto” />
前言
SolarWinds Orion平台是一个统一的网络和系统管理产品套件,可用于监控IT基础架构。我们可以通过SolarWinds Information Service (SWIS)访问Orion平台中的数据。
在程序实现上,我们可以借助SolarWinds Orion API进行开发,但是在最近的漏洞利用上,我们无法直接使用SolarWinds Orion API。
本文将要介绍SolarWinds Orion API的用法,分析无法直接使用的原因,提供一种解决方法,开源两个测试代码。
简介
本文将要介绍以下内容:
◼SolarWinds Orion API的使用
◼模拟网页操作的实现
◼开发细节
◼开源代码
SolarWinds Orion API的使用
参考资料:
Python语言可使用orionsdk库进行开发,地址如下:
在引入orionsdk库后,可以很容易的实现以下功能:
◼query
◼invoke
◼create
◼read
◼update
◼bulkupdate
◼delete
◼bulkdelete
为了研究SolarWinds Orion API的实现细节,决定不借助orionsdk库实现相同的功能。
语法格式的参考资料:
对于SolarWinds Orion API,需要注意以下细节:
1.接口地址
默认接口地址为https://< url >:17778/SolarWinds/InformationService/v3/Json/
2.用户验证
添加Header: Authorization: Basic dXNlcm5hbWU6cGFzc3dvcmQ=
其中,dXNlcm5hbWU6cGFzc3dvcmQ为username:password作Base64编码后的结果。
3.数据查询
通过POST发送查询命令,格式为application/json类型。
SolarWinds Orion API使用SolarWinds Query Language (SWQL),类似于SQL语法。
数据库的表项可以通过本地搭建测试环境,执行SolarWinds Orion下的DataBase Manager进行查看。
查询数据库的示例代码:
![](https://i-blog.csdnimg.cn/blog_migrate/645e506775cc7d8f0d0e1edaf23f75e4.png)
在Python代码开发上,需要考虑以下细节:
1.将字典作为命令行参数传递
可以先通过命令行参数传入字符串,再将字符串转义为json字符串。
固定参数的用法示例:
![](https://i-blog.csdnimg.cn/blog_migrate/24cd15fa48304ffbd8272b2ebb6977f2.png)
将字典作为命令行参数传递的用法示例:
![](https://i-blog.csdnimg.cn/blog_migrate/9ea74df65dd29a8a5e502d475bd8f4d0.png)
2.将列表作为命令行参数传递
可以先通过命令行参数传入字符串,再将字符串转为列表。
固定参数的用法示例:
![](https://i-blog.csdnimg.cn/blog_migrate/f9cf9388305913280cb11373e56834e4.png)
将列表作为命令行参数传递的用法示例:
![](https://i-blog.csdnimg.cn/blog_migrate/64190233d24aecdc267d174f7e94e981.png)
完整的实现代码已上传至Github,地址如下:
代码支持以下功能:
◼query
◼invoke
◼create
◼read
◼update
◼bulkupdate
◼delete
◼bulkdelete
为了便于使用,省去输入查询语句的过程,还支持以下功能:
◼GetAccounts
◼GetAlertActive
◼GetAlertHistory
◼GetCredential
◼GetNodes
◼GetOrionServers
猜测是出于安全考虑,SolarWinds Orion API的功能有限,有些数据库无法进行查询,例如VirtualMachines表(存储虚拟机信息)、CredentialProperty表(存储凭据信息)、Accounts表的PasswordHash项和PasswordSalt项。
已公开的SolarWinds漏洞(CVE-2020-10148、CVE-2020-27870、CVE-2020-27871、CVE-2021-31474)涉及的均为网络协议接口((默认为http://< ip >:8787/Orion/),同SolarWinds Orion API不同,所以无法结合利用
模拟网页操作的实现
为了结合漏洞利用,我们需要网页登录,通过抓取数据包的方式实现同SolarWinds Orion的数据交互,功能同SolarWinds Orion API的功能保持一致。
1.登录验证
通过抓取数据包发现,SolarWinds Orion基于ASP.NET平台使用了ViewState存储数据。
但经过实际测试,我们的测试程序可以不带有ViewState,不影响功能。
登录验证的数据包流程如下:
1.访问:http://< ip >:8787/Orion/Login.aspx?autologin=no
2.返回响应码为302
3.自动跳转至http://< ip >:8787/Orion/View.aspx
4.返回响应码为302
5.自动跳转至http://< ip >:8787/Orion/SummaryView.aspx
6.返回响应码为200,获得最终结果
在程序实现上,我们可以对返回的最终结果进行判断,如果Cookie中带有__AntiXsrfToken项,那么代表用户验证成功。
示例代码:
![](https://i-blog.csdnimg.cn/blog_migrate/4c12034aec1c104809db1916e674f69d.png)
2.查询操作
Header中需要额外添加属性X-XSRF-TOKEN
属性X-XSRF-TOKEN的值在初次登录时访问http://< ip >:8787/Orion/Login.aspx?autologin=no返回的302结果中获得。
在程序实现上,可以通过添加参数allow_redirects=Faslse来禁用跳转,在返回的Cookie中取出X-XSRF-TOKEN。
查询接口地址:http://< ip >:8787/api2/swis/query
示例代码:
![](https://i-blog.csdnimg.cn/blog_migrate/68418d5d4c981ea8ab0e247a68817cbb.png)
数据格式同SolarWinds Orion API的query命令保持一致,所以我们可以直接对照SolarWinds Orion AP实现相同的功能。
完整的实现代码已上传至Github,地址如下:
代码支持用户口令验证和数据库查询的功能
为了便于使用,省去输入查询语句的过程,支持以下功能:
◼GetAccounts
◼GetAlertActive
◼GetAlertHistory
◼GetCredential
◼GetNodes
◼GetOrionServers
小结
本文分别介绍了使用SolarWinds Orion API和模拟网页操作实现数据查询的方法,开源测试代码,便于同其他漏洞利用相结合。
### 如何入门网络安全
建议
多看书
阅读永远是最有效的方法,尽管书籍并不一定是最好的入门方式,但书籍的理解需要一定的基础;但是就目前来看,书籍是比较靠谱的入门资料。
现在Web安全书籍比较多,因此大家在学习的过程中可以少走了不少的弯路。如果以上推荐书籍阅读有困难,那就找自己能看得进的 Web 安全的书
当然纸上谈兵终觉浅,最好还是实践一下。
对于那些没有学习方向和资料的同学,可以看下我整理的资源,这份资料经历过社会的实践,可以说是当下全网较全的网络安全知识体系:
①网络安全学习路线
②20份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥网络安全必备书籍
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析
![](https://i-blog.csdnimg.cn/blog_migrate/b62084d7b0a8d7d0a288b80b5c76cf20.png)