一、漏洞原理
log4j(log for java)是由Java编写的可靠、灵活的日志框架，是Apache旗下的一个开源项目，使用Log4j，我们更加方便的记录了日志信息，它不但能控制日志输出的目的地，也能控制日志输出的内容格式；通过定义不同的日志级别，可以更加精确的控制日志的生成过程，从而达到我们应用的需求；这一切，都得益于一个灵活的配置文件，并不需要我们更改代码。
由于log4j提供了lookup机制，使日志中的${}也可进行执行，在其中输入JNDI的payload，即可进行执行。
使用lookup进行jndi注入，通过ldap、rmi等使其访问不安全的服务。
二、验证漏洞
开启vulfocus的靶场
进入指定url后点一下连接进行抓包，可以看到这次的输入是get型
最低0.47元/天 解锁文章
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
