Apache-Solr-RCE深入利用

 

0x01 Solr描述

Solr是建立在Apache Lucene ™之上的流行，快速，开放源代码的企业搜索平台。

其中5.x-8.3.1版本存在velocity模板注入RCE。

Solr存在挺多CVE漏洞的，不过velocity模板注入是影响版本范围最广的一个漏洞。网上分析、复现的文章挺多的，这里就不再重复了。

 

0x02 起因

（以下全为补图）

某次项目，刚好遇到存在漏洞Solr应用，熟练的拿出平时复现用的脚本。

成功返回whomai命令结果，拿捏。

随后开始进一步的信息收集，先遍历一下目录，看看都有什么文件。

直接500报错了，刚开始还以为是意外，随即多试了几下，发现事情并没有那么简单。

接连又试了几个命令，netstat -ano | findstr “3389”，看看3389是否开启。同样结局。

就这样了吗？怎么可能。

 

0x03 响应500原因分析

随后在本地搭建了同样版本的环境，开始测试。

执行whoami命令，正常值返回

执行dir报错

查看了一些调试信息，抱错：“系统找不到指定的文件”

打开全盘搜索工具搜了一下，果然没有dir.exe。

Ps：E:\Program Files\Git\usr\bin\未加入系统环境变量。

 

0x04 解决之道

通过网络搜索，最终搞明白。DOS命令分为：

内部命令在DOS启动时随command.com装入内存，可随时执行。

外部命令的执行需要进入保存命令的目录下面，或者设置全局环境变量。

刚好dir属于内部命令，然而java的getRuntime().exec(‘dir’)执行的是系统变量里边的文件，自然就找不到dir命令了。

Windows系统的命令一般都是通过cmd.exe来执行，所以，我们可以在前面加上cmd.exe /c。

0x05 超时导致无回显

刚准备继续，又啪啪打*了。

cmd.exe /c netstat -ano

执行类似命令cmd.exe /c netstat -n可以正常执行。那么就很明朗了，肯定是参数a和o搞得鬼。

经过本地尝试，单独使用参数a或o，都会等待较长时间。

参数-a

参数-o

猜测可能是时间超时导致无回显。

 

0x06 突破超时无回显

一般命令执行无回显的情况下，可以直接执反弹shell或者数据外带。不管怎么样，都需要目标机能正常出网为前提。那么，可以不出网回显吗？

答案是肯定的。

直接通过＞符号，把结果导入一个文件中即可。

虽然响应报错了，但是命令已经执行成功了

netstat –ano命令执行结果

这是在本地，可以直接打开，做项目的时候怎么查看文件那？

默认写入文件的目录在web是不能直接访问的。

默认上传文件目录：

solr-7.5.0\solr\server\

默认Solr的ｗｅｂ目录：

solr-7.5.0\solr\server\solr-webapp\webapp\

写入文件时，只需要向后两个目录就好了。

重新构造命令：cmd.exe /c netstat -ano > ./solr-webapp/webapp/feizhoumoli2.txt

ｗｅｂ查看执行结果

很多人喜欢反弹shell，可以直接把ｎｃ上传致ｓｏｌｒ目录，直接执行即可。

ｐｓ：

       文档中用的是自己编译的版本，solr的ｗｅｂ目录和直接运行版本有差别

直接运行版ｓｏｌｒ默认路经：

solr-8.1.0\server

solr-8.1.0\server\solr-webapp\webapp

 

0x07 插曲

当我刚要停笔，长舒一口气的时候，同事凑过来看来一眼我写的文章。

来了句：这个漏洞啊，ｍｓｆ可以一键反弹shell。

并甩过来一张截图

我：＊＊＊