vulfocus复现：log4j2-rce-2021-12-09

漏洞影响：

Apache Log4j 是一个基于Java的日志记录工具。经过多年的开发迭代，Log4j 1.x的维护已经变得非常困难，因为它需要与非常旧的 Java 版本兼容，所以于 2015 年 8 月正式升级为Log4j2。黑客可以恶意构造特殊数据请求包payload触发漏洞，从而可以在目标服务器上执行任意代码，导致服务器被控制。

受影响版本：2.0-beta9 <= Apache Log4j <= 2.15.0-rc1

复现场景：

靶机：192.168.25.132

攻击机（kali）：192.168.25.129

使用工具：

Base64在线编码工具

url在线编码工具

burpsuite

JNDI注入利用工具：JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar（生成JNDI链接并启动后端相关服务，可用于Fastjson、Jackson等相关漏洞的验证）

GitHub - welk1n/JNDI-Injection-Exploit: JNDI注入测试工具（A tool which generates JNDI links can start several servers to exploit JNDI Injection vulnerability,like Jackson,Fastjson,etc）

复现过程：

1.在靶机安装vulfocus，并下载镜像vulfocus/log4j2-rce-2021-12-09   //安装靶场平台https://github.com/fofapro/vulfocus

2.在首页启动靶场并访问靶场地址