5 分鐘復(fù)現(xiàn) log4J 漏洞，手把手實現(xiàn)
2021年12月10日凌晨前，網(wǎng)上曝出了 log4j 的核彈級漏洞，這種漏洞超級高危，操作簡單，利用方便，適用范圍廣，可以直接任意代碼執(zhí)行，接管你的服務(wù)器。
此處思考曝光者凌晨曝光的原因，或許選擇凌晨曝光，想著無數(shù)工程師半夜起來緊急修復(fù)，讓 TA 產(chǎn)生了變態(tài)的快感。
我知道你們是想看什么的，就是想看如何演示，不過可能要讓你失望了，本來我是發(fā)表了如何復(fù)現(xiàn)的介紹。
發(fā)表后立馬得到了不錯的反饋，但是想到可能很多人不是來學(xué)習(xí)的，可能是真的會進行不當利用，所以還是決定刪掉了。真的只是研究下那就加個好友交個朋友吧，公開場合不適合介紹漏洞復(fù)現(xiàn)。
0x01. 漏洞情況
Apache Log4j2是一款優(yōu)秀的Java日志框架。由于 Apache Log4j2 某些功能存在遞歸解析功能，攻擊者可直接構(gòu)造惡意請求，觸發(fā)遠程代碼執(zhí)行漏洞。漏洞利用無需特殊配置。
這里貼下漏洞公開級別。
| 漏洞細節(jié) | 漏洞PoC | 漏洞EXP | 在野利用 |
|---|---|---|---|
| 公開 | 公開 | 公開 | 存在 |
通過網(wǎng)上公開資料，這個漏洞的細節(jié)已經(jīng)完全公開，這里簡單演示，讓大家了解漏洞情況，盡快安全升級。
根據(jù)網(wǎng)絡(luò)公開新聞，可以梳理出以下時間脈絡(luò)：
2021年 11 月 24 日，阿里云安全團隊向Apache官方報告了Apache Log4j2遠程代碼執(zhí)行漏洞。
2021年12月06日，log4j2 發(fā)布修復(fù)包 log4j-2.15.0-rc1.jar
2021年12月10日，log4j2 發(fā)布修復(fù)包 log4j-2.15.0-rc2.jar
2021年12月10日，阿里云安全團隊發(fā)現(xiàn) Apache Log4j 2.15.0-rc1 版本存在漏洞繞過，請及時更新至 Apache Log4j 2.15.0-rc2 版本。
實際受影響范圍如下：
Apache Log4j 2.x < 2.15.0-rc2
0x02. 安全建議
排查應(yīng)用是否引入了 Apache log4j-core Jar 包，若存在依賴引入，且在受影響版本范圍內(nèi)，則可能存在漏洞影響。請盡快升級Apache Log4j2所有相關(guān)應(yīng)用到最新的 log4j-2.15.0-rc2 版本，地址 https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2
升級已知受影響的應(yīng)用及組件，如 spring-boot-starter-log4j2/Apache Struts2/Apache Solr/Apache Druid/Apache Flink
臨時緩解方案?？缮塲dk版本至6u211 / 7u201 / 8u191 / 11.0.1以上，可以在一定程度上限制JNDI等漏洞利用方式。對于大于2.10版本的Log4j，可設(shè)置 log4j2.formatMsgNoLookups 為 True，或者將 JndiLookup 類從 classpath 中去除，例如 zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class
0x03. 漏洞復(fù)現(xiàn)
以下測試，只做學(xué)習(xí)分析之用，不要于其他用途！單機演示，所有地址都是 127.0.0.1。
本來不準備畫圖的，但是很多同學(xué)以為注入漏洞就是簡單的運行網(wǎng)上的 ${jndi:ldap://127.0.0.1:1389/Log4jTest} ，我覺得還是有必要畫個圖簡單說明一下， 一個簡單的攻擊鏈路步驟圖，畫的匆忙見諒。
3.1. 環(huán)境模擬 - 受害者小白服務(wù)
已刪除，學(xué)習(xí)交流可以加微信。
3.2. 環(huán)境模擬 - 攻擊者服務(wù)
已刪除。
3.3. 測試
受害者小白服務(wù)再次運行，原本只簡單打印一行日志，現(xiàn)在多了一行說明信息。
無害測試，沒有攻擊性，linux/mac 創(chuàng)建文本：xxxyyyzzz.txt；windows 彈出計算器。最后求關(guān)注，公眾號：程序猿阿朗
20:21:57.780?[main]?ERROR?Log4j2?-?params: xxx
同時運行項目目錄多了一個文件 xxxyyyzzz.txt
如果你是在 windows 上運行測試，那么會彈出一個計算器。
一如既往，文章中的代碼存放在：github.com/niumoo/lab-notes
Hello world : )?這篇文章就到這里了，我是阿朗，點贊和在看，動力無限，求關(guān)注。