log4j2-rce-recap — 简要回顾log4j2远程代码执行（CVE-2021-44228） | Kitploit

关于log4j2远程代码执行(CVE-2021-44228)的简要回顾

要求

maven >= 3
java >= 8
没有在127.0.0.1:1389上运行的LDAP服务

使用方法

使用maven构建。

mvn test

surefire插件将执行两次：

ExploitabilityTest 证明漏洞的可利用性。
MitigationTest 将在VM属性 -Dlog4j2.formatMsgNoLookups=true 下执行并证明缓解措施的有效性。

简介

log4j vs log4j2

log4j2 不是 log4j 1.x；两者都是日志框架，但API不兼容。log4j 1.x不受此漏洞影响，但可能有其他安全问题。

漏洞利用

log4j2会对格式化字符串和参数都进行查找模式（${...}）的评估。因此，当来自外部的输入被记录时，可以添加这样的模式，log4j2会对其进行求值。
默认启用jndi的查找处理程序，因此可以通过上述查找模式触发，例如 ${jndi:127.0.0.1:1389/a}
由于jndi代码中的漏洞，Java容易受到远程代码执行攻击
由于这三部分结合在一起，现在可以从外部触发远程代码执行

参考资料