此文件夹包含针对 Apache Solr CVE-2017-3164 和 CVE-2017-12629 的示例漏洞利用代码。
仅用于教育目的，且必须获得 Apache Solr 服务器所有者的完全许可。
你需要知道 Apache Solr 服务器的 IP 或 DNS 名称，以及一个 Collection（集合）的名称。
Apache Solr 1.3 至 7.6（含）版本中存在服务端请求伪造（Server Side Request Forgery，SSRF）漏洞。由于 "shards" 参数没有相应的白名单机制，能够访问服务器的远程攻击者可让 Solr 向任何可达的 URL 发起 HTTP GET 请求。
这个 SSRF 极其强大，因为你只需向它发送一个 GET 请求，它就会向目标发起一个 POST 请求。此外，你可以将 POST 请求体作为 URL 参数随 GET 请求一起提供。
在 Apache Solr 7.1 之前版本与 Apache Lucene 7.1 之前版本中，通过利用 XXE 并结合使用 Config API 的 add-listener 命令来触达 RunExecutableListener 类，可发生远程代码执行。Elasticsearch 虽然使用 Lucene，但对此漏洞并不受影响。请注意，XML 外部实体扩展漏洞出现在 XML 查询解析器中，默认情况下，任何带有 deftype=xmlparser 参数的查询请求都可使用该解析器，并且该漏洞可被利用来向 /upload 请求处理器上传恶意数据，或通过使用 ftp 包装器进行 Blind XXE 攻击，从而读取 Solr 服务器上的任意本地文件。另请注意，第二个漏洞涉及远程代码执行，可利用所有受影响 Solr 版本上可用的 RunExecutableListener。
我只是选择了这个 RCE 进行利用，但 Apache Solr 有大量可借助 SSRF 利用的 RCE 漏洞。你也可以同样轻松地利用 Solr 服务器能够访问的任何其他服务器，例如向 Redis 服务器发送 Redis 命令，从而在 Redis 服务器上获得反向 shell。
你可以将此文件托管在公共 Web 服务器上，然后通过电子邮件发送给目标用户。如果目标加载了该网页，JavaScript 将自动利用 Apache Solr 服务器。
端口号需要在 ?n= URL 参数中提供。这样，你可以向多个目标发送电子邮件，并为每个目标设置一个唯一的监听器。
