转载

详细分析Solr的CVE-2019-0193以及velocity模板注入新洞

环境搭建

java "-agentlib:jdwp=transport=dt_socket,server=y,suspend=n,address=9000" -Dsolr.solr.home="../example/example-DIH/solr/" -jar start.jar --module=http

然后idea加远程调试9000端口，dist、server/lib文件夹加到library里。dist是solr的主要jar

首先是CVE-2019-0193

首先看exp 详细分析Solr的CVE-2019-0193以及velocity模板注入新洞

solr的admin后台文件是server/solr-webapp, 所以首先还是得看web.xml，看大概的一些filter、url-pattern路由才能知道后台怎么过去的。详细分析Solr的CVE-2019-0193以及velocity模板注入新洞

请求都走了SolrRequestFilter这个过滤器，对应着org.apache.solr.servlet.SolrDispatchFilter，进去看一下看了doFilter方法，主要就是通过getHttpSolrCall返回一个HttpSolrCall对象，然后调用call方法到了servlet类中，然后handler.handleRequest(req, rsp);进到了handleRequest中对请求响应进行处理。

在handleRequest中，this.handleRequestBody(req, rsp);调用了抽象方法来对请求处理，看一下哪些类实现了这个抽象方法。

有点多，这些都是可以通过路由直接请求到的类。这里不仔细看了。

exp是请求/solr/tika/dataimport，所以直接进入exp中的dataimport类。详细分析Solr的CVE-2019-0193以及velocity模板注入新洞

一开始通过loadDataConfig，其中调用了readFromXml方法，从xml数据中读取信息并解析，根据解析出的document，script，function，dataSource等标签构建出DIHConfiguration对象并返回。然后根据传的参数，没debug,进了这里。详细分析Solr的CVE-2019-0193以及velocity模板注入新洞里边只是在新线程中进了runCmd中，还是进了runCmd。根据我们传的full-import，进了这里。在doFullImport中，首先会创建一个DocBuilder对象，DocBuilder的主要功能是从给定配置中创建Solr文档，同时会记录一些状态信息。随后通过execute()方法会通过遍历Entity的所有元素来解析config结构，最终得到是一个EntityProcessorWrapper对象。

下面是通过docBuilder.execute()进入doFullDump然后进入buildDocument方法。可以看到，execute中传入的生成的builder对象的config属性是之前根据我们传入的payload生成的DIHConfiguration对象。buildDocument()方法会为发送的配置数据的每一个processor做解析，当发送的entity中含有Transformers转换器时，会进行相应的转换操作。问题出在ScriptTransformer。script转换器能够对把其他java支持的语言转成java函数执行。而内容我们可控，这就很尴尬了。引用A-Team大佬的描述：

脚本转换器允许使用Java支持的语言（比如Javascript, JRuby, Jython, Groovy, or BeanShell）编写任意转换函数，其中Javascript语言已默认集成在Java中了，使用其他语言的话需要自己整合。每个转换函数都必须接收一个row变量（与Java中的Map<String,Object>类型对应，所以是支持get、put、remove等操作的），函数的功能是修改已知field的值，或者添加新的fields。处理完之后，将row对象作为返回值返回。这个脚本会以最高级别插入到DIH配置文件中，每个row会调用一次。