记一次由Solr未授权造成的JNDI注入getshell

Why JNDI？ 

因为JNDI与传统通过jdbc uri连接数据库不同，在数据库变更时不必修改数据库的uri，不必修改jdbc驱动包/类，通过j2ee容器管理配置。

为什么这种封装带来了新的漏洞？这个问题源于动态协议转换与Java的Naming Reference。如：

Properties env = new Properties();
env.put(Context.INITIAL_CONTEXT_FACTORY, "com.sun.jndi.rmi.registry.RegistryContextFactory");
env.put(Context.PROVIDER_URL, "rmi://ip:port");
Context ctx = new InitialContext();ctx.lookup("rmi://ip:port/hello"); //or ctx.lookup("hello");

当lookup参数可控时，即使服务端提前配置了Context.PROVIDERURL属性，如果lookup方法的参数是uri地址，那么客户端就会去lookup()方法参数指定的uri中加载远程对象，而不是去Context.PROVIDERURL设置的地址去加载对象。这便是动态协议转换。

那为什么远程加载的对象会被执行？原因就是Reference类。

Java为了将object对象存储在Naming或者Directory服务下，提供了Naming Reference功能。通过引用Reference类绑定远程对象。当客户端在lookup()查找这个远程对象时，获取一个Reference的stub，当本地classpath不存在类时就会动态加载远程类，并调用无参构造函数。因此将恶意语句写在构造方法中，当被实例化时，类的初始化方法就会被触发。或者利用java的static代码块执行类的恶意方法。

这也是为什么注入执行在受害者处而不是攻击者起的服务端。攻击者的服务端（例如RMI服务）返回Reference，Reference包含的恶意类被加载并实例化，类中的构造方法或静态代码块被执行，最终RCE。