log4j漏洞分析及总结

最新推荐文章于 2025-10-22 18:45:00 发布

原创

最新推荐文章于 2025-10-22 18:45:00 发布 · 5.1w 阅读

160 ·

CC 4.0 BY-SA版权

文章标签：

#apache #java #web安全 #log4j2

本文详细剖析了2021年的Apache Log4j2远程代码执行漏洞（CVE-2021-44228），解释了JNDI注入和Java反序列化漏洞的概念，展示了漏洞利用的payload，并通过实验验证了其危害，包括远程代码执行和反弹shell。最后，提出了升级到2.17.0-rc2及以上版本作为修复措施。

2021年12月8号爆出的log4j2的远程代码执行漏洞【cve-2021-44228】，堪称史诗级核弹漏洞，虽然过了这么久，大部分现网中的相关漏洞已经修复，但任然可以捡漏…,网上也有不少大佬和研究机构都对该漏洞做了分析和复盘，年前年后比较忙，一直没有好好的分析总结该漏洞，最近学习下刚好补上。

漏洞描述及影响

log4j是Apache的一个开源项目，是一个基于Java的日志记录框架。Log4j2是log4j的后继者，被大量用于业务系统开发，记录日志信息。很多互联网公司以及耳熟能详的公司的系统都在使用该框架。Apache Log4j2 组件在开启了日志记录功能后，凡是在可触发错误记录日志的地方，插入漏洞利用代码，即可利用成功。特殊情况下，若该组件记录的日志包含其他系统的记录日志，则有可能造成间接投毒。通过中间系统，使得组件间接读取了具有攻击性的漏洞利用代码，亦可间接造成漏洞触发。

同时该漏洞还影响很多全球使用量的Top序列的通用开源组件，例如 Apache Struts2、Apache Solr、Apache Druid、Apache Flink等

用户认证：不需要用户认证

触发方式：远程

配置方式：默认

利用条件：需要外网访问权限

影响版本：2.0 ≤ Apache Log4j2 < 2.15.0-rc2

利用难度：极低，无需授权即可远程代码执行

威胁等级：严重，能造成远程代码执行

综合评估漏洞利用难度极低，利用要求较少，影响范围很大，危害极其严重，且已经被黑客公开利用持续全网扫描，根据部里要求，需要紧急修复。

漏洞分析

该漏洞的主要原因是log4j在日志输出中，未对字符合法性进行严格的限制，执行了JNDI协议加载的远程恶意脚本，从而造成RCE。这里面有一个关键点就是，什么是JNDI,为什么JNDI可以造成RCE
【Java JNDI使用详解】 https://blog.youkuaiyun.com/qinwuxian19891211/article/details/108969927，这篇文章中很好的介绍了什么是JNDI，这里摘抄文章中的重点

最低0.47元/天解锁文章