log4j2漏洞源码分析

郭晓雷

已于 2022-04-07 14:20:52 修改

阅读量3.6k

点赞数 2

文章标签：安全 web安全

于 2021-12-14 16:18:37 首次发布

本文链接：https://blog.csdn.net/weixin_45682070/article/details/121928932

版权

本文分析了Apache Log4j 2.x版本的安全漏洞，该漏洞允许远程代码执行（RCE）。漏洞源于MessagePatternConverter的format()方法，攻击者通过特定payload能触发JNDI查找，导致安全风险。紧急缓解措施包括更新到最新版本或修改JVM参数。文章还探讨了漏洞的工作原理、payload构造及可能的利用场景。

摘要由CSDN通过智能技术生成

前言

上篇分析了jndi+ldap的利用，这两天新爆出来的漏洞log4j2中，结合恶意payload可执行远程恶意代码
影响范围:Apache Log4j 2.x < 2.15.0-rc2，而且利用难度低，利用要求少
紧急缓解措施(最好升级最新版本)：
（1）修改jvm参数 -Dlog4j2.formatMsgNoLookups=true
（2）修改配置log4j2.formatMsgNoLookups=True
（3）将系统环境变量 FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS 设置为 true

分析

整个漏洞中所调用的函数为：

logMessage ----> logMessageSafely ----> logMessageTrackRecursion ----> tryLogMessage ----> log
----> DefaultReliabilityStrategy.log ----> loggerConfig.log ----> processLogEvent ----> callAppenders
----> tryCallAppender ----> append ----> tryAppend ----> directEncodeEvent ----> encode ----> toText ---->
toSerializable ---->format----> PatternFormatter.format

漏洞的成因是：org.apache.logging.log4j.core.pattern.MessagePatternConverter