Apache Solr DataImportHandler远程代码执行漏洞(CVE-2019-0193) 分析

作者：Longofo@知道创宇404实验室
时间：2019年8月8日
原文链接：https://paper.seebug.org/1009/

漏洞概述
2019年08月01日，Apache Solr官方发布预警，Apache Solr DataImport功能 在开启Debug模式时，可以接收来自请求的"dataConfig"参数，这个参数的功能与data-config.xml一样，不过是在开启Debug模式时方便通过此参数进行调试，并且Debug模式的开启是通过参数传入的。在dataConfig参数中可以包含script恶意脚本导致远程代码执行。

我对此漏洞进行了应急，由于在应急时构造的PoC很鸡肋，需要存在数据库驱动，需要连接数据库并且无回显，这种方式在实际利用中很难利用。后来逐渐有新的PoC被构造出来，经过了几个版本的PoC升级，到最后能直接通过直接传递数据流的方式，无需数据库驱动，无需连接数据库且能回显。下面记录下PoC升级的历程以及自己遇到的一些问题。感谢@Badcode与@fnmsd师傅提供的帮助。

测试环境
分析中涉及到的与Solr相关的环境如下：

Solr-7.7.2
JDK 1.8.0_181
相关概念
一开始没有去仔细去查阅Solr相关资料，只是粗略翻了下文档把漏洞复现了，那时候我也觉得数据应该能回显，于是就开始调试尝试构造回显，但是没有收获。后来看到新的PoC，感觉自己还没真正明白这个漏洞的原理就去盲目调试，于是又回过头去查阅Solr资料与文档，下面整理了与该漏洞有关的一些概念。

Solr工作机制
1.solr是在lucene工具包的基础之上进行了封装，并且以web服务的形式对外提供索引功能

2.业务系统需要使用到索引的功能（建索引，查索引）时，只要发出http请求，并将返回数据进行解析即可

(1) 索引数据的创建

根据配置文件提取一些可以用来搜索的数据（封装成各种Field），把各field再封装成document，然后对document进行分析（对各字段分词），得到一些索引目录写入索引库，document本身也会被写入一个文档信息库

(2) 索引数据的查询

根据关键词解析（queryParser）出查询条件query(Termquery)，利用搜索工具（indexSearcher）去索引库获取文档id，然后再根据文档id去文档信息库获取文档信息

Solr DataImportHandler
Solr DataImportHandler可以批量把数据导入到索引库中，根据Solr文档中的描述，DataImportHandler有如下功能：

读取关系数据库中数据或文本数据
根据配置从xml（http/file方式）读取与建立索引数据
根据配置聚合来自多个列和表的数据来构建Solr文档
使用文档更新Solr（更新索引、文档数据库等）
根据配置进行完全导入的功能（full-import，完全导入每次运行时会创建整个索引）
检测插入/更新字段并执行增量导入（delta-import，对增加或者被修改的字段进行导入）
调度full-import与delta-import
可以插入任何类型的数据源（ftp，scp等）和其他用户可选格式（JSON，csv等）
通过搜索到的资料与官方文档中对DataImportHandler的描述，根据我的理解整理出DataImport处理的大致的流程图如下（只画了与该漏洞相关的主要部分）：

几个名词解释：

Core：索引库，其中包含schema.xml/managed-schema，schema.xml是模式文件的传统名称，可以由使用该模式的用户手动编辑，managed-schema是Solr默认使用的模式文件的名称，它支持在运行时动态更改，data-config文件可配置为xml形式或通过请求参数传递（在dataimport开启debug模式时可通过dataConfig参数传递）
通过命令行创建core