log4j2远程代码执行漏洞本地复现

Answer 1

本文仅供学习参考，请勿在真实环境进行网络攻击行为。

一、背景

Log4j 2 是 Java 中应用非常广泛的一个日志框架，在 2021 年底，一个名为 CVE-2021-44228（也称为 Log4Shell）的严重漏洞被发现，该漏洞被CVSS评为10分最高级别。网络攻击者利用这个漏洞不需要服务器密码就可以访问并操作服务器，攻击方式非常简单，技术门槛低，危害极大。受影响版本：Apache log4j2 2.0 - 2.14.1 下面先简单看一下攻击原理，然后直接开始操作。

二、攻击原理

假设现在有个网站，当用户登录时，正常请求路径如下：

如果应用服务端的登录接口中使用漏洞版本的log4j2打印请求参数的日志，就有可能被注入。如图所示：

三、复现步骤

以下代码已放在github仓库：log4j漏洞复现代码

1. jdk版本

作者使用jdk1.8.0_161和1.8.0_42复现成功，1.8.0_301复现失败。

JDK 6u211、7u201、8u191之后：增加了com.sun.jndi.ldap.object.trustURLCodebase选项，默认为false，禁止LDAP协议使用远程codebase的选项，把LDAP协议的攻击途径也给禁了。

使用1.8.0_301的情况下，将trustURLCodebase属性设置为true也没复现成功，原因暂未深究。

2. 模拟被攻击的应用服务器

写一个springboot项目，模拟被攻击的应用服务端登录接口，接口中打印了userName参数日志，启动此项目。端口为8080。访问地址为 127.0.0.1:8080/login

3. 编写恶意代码

写一个在应用服务端执行的恶意代码，这里用删除一个服务器文件做演示，实际上可以使用反弹shell等做更多有害操作。编译这个类，生成class文件。

4. 启动http服务

启动一个http服务，使其可以访问上一步生成的.class文件，可以使用python启动一个http服务，cmd进入.class文件的目录，然后执行以下命令，使用 127.0.0.1:4444/Exploit....能够访问说明一切正常。如果没有python环境也可以使用nginx等，只要能访问到Exploit.class即可。以下是使用python启动http服务的命令和截图：

5. 启动LADP服务

具体作用可以参考上面的原理图。这里直接使用github上的代码 GitHub - mbechler/marshalsec来运行ladp服务。如图所示：编译、运行启动。

运行ladp服务的命令：

上面命令中的 127.0.0.1:4444/#...是第四步中的地址，根据自己的情况可自行修改，1389是ladp服务默认端口，无需修改。

6. 发起攻击请求

在C盘建一个1.txt文件，使用恶意构造的参数访问登录接口。

切换到ldap服务的控制台，可以看到日志，说明登录接口中的log4j已经访问ladp服务了。

切换到http控制台，可以看到请求日志，说明应用服务器已经请求http服务器加载Exploit.class。

在Exploit源码中debug，可以确认恶意代码已经执行，漏洞成功复现。

四、注意事项