快速复现利用Log4j漏洞启动windows计算器

最新推荐文章于 2024-07-17 17:13:42 发布

原创

最新推荐文章于 2024-07-17 17:13:42 发布 · 4.3k 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#windows #安全

本文介绍了一种利用 Log4j 版本 2.14.1 中的远程代码执行 (RCE) 漏洞的方法。通过创建一个简单的 Maven 项目并配置特定版本的 JDK 和 log4j-core 依赖项，演示了如何通过 JNDI 查找功能触发 RCE。文章提供了完整的代码示例，包括设置远程对象和服务端点。

了解关于漏洞的描述，可以参考Vulnerability Affecting Multiple Log4j Versions Permits RCE Exploit

根据文章描述，首先下载JDK1.8u102，不能高于这个版本。

通过如下pom.xml建立一个maven项目

<project xmlns="http://maven.apache.org/POM/4.0.0"
	xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
	xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 https://maven.apache.org/xsd/maven-4.0.0.xsd">
	<modelVersion>4.0.0</modelVersion>
	<groupId>Log4jJNDI</groupId>
	<artifactId>Log4jJNDI</artifactId>
	<version>0.0.1-SNAPSHOT</version>
	<properties>
		<java.version>1.8</java.version>
	</properties>
	<dependencies>
		<!-- https://mvnrepository.com/artifact/org.apache.logging.log4j/log4j-core -->
		<dependency>