Log4j 漏洞中最大的恶狼。当 Log4j 记录字符串 ${jndi:ldap://\<攻击代码>/a} 的变体时，漏洞被利用。CVSS 10.0，远程代码执行（RCE）。

不如 CVE-2021-44228 严重，但同样危险。需要 Log4j 的非标准配置。CVSS 9.0，远程代码执行（RCE）和拒绝服务（DoS）。

不如 CVE-2021-44228 严重，危险性也稍低。CVSS 7.5，拒绝服务（DoS）。

仅影响 Log4j 1.x 版本。需要 Log4j 使用 JMSAppender。CVSS 6.6，远程代码执行（RCE） 利用条件：Log4j 使用 JMSAppender。要么直接配置了 JMSAppender（这很不常见），要么攻击者自行将其添加到 Log4j 配置中。 此外，攻击者必须有权修改 JMSAppender 的配置。如果满足此条件，攻击者通常已经拥有系统访问权限。因此，该漏洞被认为不太相关。

仅影响 Log4j 1.x 版本。需要 Log4j 使用 SocketServer。CVSS 9.8，远程代码执行（RCE） 允许具有网络访问权限的攻击者通过对应套接字执行代码。利用代码已公开可用。

2. 构建文本字符串 ${jndi:ldap://<蜜罐令牌>/a}
3. 在可能被记录的所有字段中输入此字符串

- User-agent
- 搜索字段
- 用户名
- ...

4. 跟踪蜜罐命中并找出 log4j 运行的位置。

参考：Florian Roth 的推文

Windows

以下命令扫描所有磁盘，包括映射的网络驱动器：

Get-PSDrive -PSProvider FileSystem | foreach {(gci ($_.Root) -rec -force -include *.jar -ea 0 | foreach {select-string "JndiLookup.class" $_} | select -exp Path)}

参考：https://twitter.com/0gtweet/status/1469661769547362305

如果只想检查本地磁盘：

Get-CimInstance win32_volume | Where-Object { $_.DriveType -eq 3 -and $_.DriveLetter -ne $null} | ForEach-Object {(gci ($_.DriveLetter+"\") -rec -force -include *.jar -ea 0 | foreach {select-string "JndiLookup.class" $_} | select -exp Path)}

参考：https://twitter.com/webmastir/status/1470386184052486155?s=20

如果还想检查计算机的事件日志：

Get-WinEvent -ListLog * |
  foreach { get-winevent @{logname=$_.logname; } -ea 0 } |
  where message -match 'jndi'

Linux #1

#!/bin/bash
find / -name '*log4j*.jar' -print0 2>/dev/null -print0 | while read -d $'\0' log4j; do
        echo -en "${log4j}: "$(unzip -p "${log4j}" | strings | grep -Po '^Implementation-Version:\s+([0-9\.]+)' | awk '{ print $NF }')"\n"
done
exit 0

以 root 身份运行

Linux #2

lsof | grep log4j-core

Java 8

将 Log4j 更新到 2.17.0 版本

Java 7

将 Log4j 更新到 2.12.2 版本 注意：不能缓解 CVE-2021-45105

⚠️ 此方法不再被认为是完全修复方案，因为它不能在所有情况下缓解所有漏洞。

Windows

[Environment]:https://raw.githubusercontent.com/helsecert/cve-2021-44228/main/:SetEnvironmentVariable(%22LOG4J_FORMAT_MSG_NO_LOOKUPS%22,%22true%22,%22Machine%22)

注意：需要重启

来自 https://twitter.com/CyberRaiju/status/1469505680138661890

设置 JVM 参数

"‐Dlog4j2.formatMsgNoLookups=True"

命令行示例：

JAVA_OPTS="-Dlog4j2.formatMsgNoLookups=true" teku --network mainnet

或者与 -Xmx 值一起使用：

JAVA_OPTS="-Dlog4j2.formatMsgNoLookups=true -Xmx4g" teku

Systemd 配置示例：

Environment='JAVA_OPTS="-Dlog4j2.formatMsgNoLookups=true"'

或者与 -Xmx 值一起使用：

Environment='JAVA_OPTS="-Dlog4j2.formatMsgNoLookups=true" "-Xmx4g'

此设置在应用程序重启时加载 来自 https://github.com/ConsenSys/teku/security/advisories/GHSA-mwfw-vm54-g3p7

jar 文件是一个归档文件（zip 文件），可以打开。然后可以删除文件。此操作可以使用 7-zip 等工具手动完成（见图），或通过脚本完成。

需要重启应用程序

参考：https://mogwailabs.de/en/blog/2021/12/vulnerability-notes-log4shell/9

Windows

[Reflection.Assembly]:https://raw.githubusercontent.com/helsecert/cve-2021-44228/main/:LoadWithPartialName(%27System.IO.Compression%27)
$JarFilLokasjon = 'C:\temp\log4j-core-2.13.0-test.jar'
$Filnavn   = 'JndiLookup.class' #此文件将被删除！

$Stream = New-Object IO.FileStream($JarFilLokasjon, [IO.FileMode]::Open)
$ZipMode   = [IO.Compression.ZipArchiveMode]::Update
$Zip    = New-Object IO.Compression.ZipArchive($stream, $ZipMode)

($zip.Entries | Where-Object { $Filnavn -contains $_.Name }) | ForEach-Object { $_.Delete() }
$zip.Dispose()
$stream.Close()
$stream.Dispose()

Linux

zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class