log4j漏洞原理复现

环境搭建

https://github.com/tangxiaofeng7/CVE-2021-44228-Apache-Log4j-Rce

直接用idea打开，build即可

然后运行即可，成功触发漏洞

漏洞跟踪

跟踪漏洞触发函数

发现接口org/apache/logging/log4j/Logger.java error

查看接口实现方法 org/apache/logging/log4j/spi/AbstractLogger.java

跟踪logIfEnabled()函数的逻辑

跟踪到tryLogMessage时，通过静态查找log函数，是不对的，通过动态跟踪更加准确，后面分析感觉是因为跨组件了，所以用idea的搜索搜出来不对

动态debug调试会跳到org/apache/logging/log4j/core/Logger.java

继续跟进最终会走到org/apache/logging/log4j/core/config/LoggerConfig.java 452行的一个三元表达式，这里三元表达式的2个分支实现原理都是一样的，不同点是做了强转，最终都是调用了logEventFactory.createEvent()函数，并将其中的参数统一set到logEvent的返回值中，当然poc也存在了其中

继续跟进，发现将保存有poc的event参数传入了org/apache/logging/log4j/core/config/LoggerConfig.java的callAppenders()中

继续跟进发现在org/apache/logging/log4j/core/layout/PatternLayout.java处会进行format操作，此次调试中再i为8时会进入触发poc

跟进后步入了org/apache/logging/log4j/core/pattern/MessagePatternConverter.java中的config.getStrSubstitutor()函数中，并且传入的value参数根据字符串中存在${的逻辑进行阶段，因为config是动态赋值的，静态根据找不到对应的类，此处在动态调试步入后就直接触发漏洞，点击红色的步入Force step into可以继续查看逻辑

进入了StrSubstitutor后发现在org/apache/logging/log4j/core/config/AbstractConfiguration.java直接返回了个subst参数，对该参数进行分析

发现是调用的StrSubstitutor类，并且传入的是一个StrLookup变量

查看StrSubstitutor的逻辑，org/apache/logging/log4j/core/lookup/StrSubstitutor.java发现在初始化时如果只有一个变量，会调用自己的另一个构造方法，并带上3个默认的参数，后续逻辑为对几个参数值进行赋值到返回的subst参数中

这里带4个参数的构造方法有2个，而DEFAULT_PREFIX参数是StrMatcher类，因此会跳到下方的函数

之后会调用带有6个参数的构造方法，setValueDelimiterMatcher的值为:-

传入的这5个参数分别对应 $，{，}，:-，:\-的字符，这些字符除了:-在后面绕waf的poc中有体现

继续跟入org/apache/logging/log4j/core/lookup/StrSubstitutor.java的replace函数，该函数不是字符串的replace，是自定义的replace函数

跟进处理逻辑，发现将类中的特殊字符取出来，后续进行删除字符操作

进行处理后会走到resolveVariable函数

该函数会将event和variableName传入lookup函数中，lookup一般是java反序列化远程加载类的一个重要函数名

这里的resolver可以是支持以下类型，而我们的远程加载类型jndi在里面，绕waf的poc的lower也在里面，因此可以通过lower来绕waf

最终跟进，进入到org/apache/logging/log4j/core/lookup/Interpolator.java中的lookup函数，并且传入的variableName是截取的poc，最终调用java的lookup触发远程加载实现反序列化,但这里不是加载的name的值，因为event值不会null，则会调用lookup.lookup(event, name)函数或者进入defaultlookup.lookup()函数