|
|
Postitatud 2021-12-11 21:06:29
|
|
|
|
Viimase kahe päeva jooksul on see sõpruskonnas "Apache Log4j2 kaugkoodi täitmise haavatavus" poolt üle võetud, peamiselt Java JNDI süstimise haavatavuse tõttu komponendis: kui programm kirjutab kasutaja sisestatud andmed logisse, koostab ründaja eripäringu, et käivitada kaugkoodi täitmise haavatavus Apache Log4j2-s, kasutades seda haavatavust suvalise koodi käivitamiseks sihtserveris.
Mõju ulatus
Apache Log4j 2.x <= 2.14.1
JNDI (Java Naming and Directory Interface) on Java poolt pakutav Java nimede ja kataloogi liides. JNDI API-d kutsudes saavad rakendused leida ressursse ja muid programmiobjekte. JNDI on oluline osa Java EE-st, tuleb märkida, et see ei hõlma ainult DataSource'i (JDBC andmeallikat), vaid JNDI pääseb ligi olemasolevatele kataloogidele ja teenustele nagu: JDBC, LDAP, RMI, DNS, NIS, CORBA, mis on välja võetud Baidu entsüklopeediast.
Internetis on palju artikleid haavatavuste parandamise kohta ja ekraanipilte, kuid vähe sellest, kuidas projekti haavatavust testida.Java kasutab peamiselt Log4j2 koodi testimiseksJärgmiselt:
Lihtsustatult öeldes pääseb Log4j2 ligi järgmisele aadressile RMI või LDAP protokolli kaudu ning vastavalt protokolli sisule võib ta käivitada pahatahtlikult konstrueeritud koodi.
Haavatavuse olemasolu tõestatakse peaaegu alati internetis, avades Windowsi kalkulaatori, ning kood on järgmine:
Kuna Log4J2 kasutab ründaja serverile juurdepääsuks RMI või LDAP protokolle ning nii RMI kui LDAP protokollid põhinevad TCP-l, saame seda teha otseKasutades .NET-i TCP pordi kuulamiseks, kui kõne log4j2-le logide printimiseks pääseb ligi .NET kuulamispordile, tõestab see, et võib olla haavatavus, ja kui mitte, siis on see turvaline。
.NET genereerib väga väikeseid testprogramme6kb, kood on järgmine:
Proovi kasutada log4j komponenti2.14.0Versioon on trükitud ja renderdus on järgmine:
Proovi uuendada log4j komponenti2.15.0versioon, uuesti käivitatud, on efekt järgmine:
Pärast versiooni uuendamist selgub, et pärast printimislogi kutsumist,Java programm ei pääse enam ligi välisele pordile。
Huvitatud sõbrad, võite vaadata järgmist linki, et haavatavust korrata ja kalkulaatori avada.
Hüperlingi sisselogimine on nähtav.
Hüperlingi sisselogimine on nähtav.
Lõpuks lisa testiprotseduur:
测试程序.rar
(2.66 KB, Allalaadimiste arv: 1)
|
Eelmine:[Päris lahing]. NET/C# Loo SQLite andmebaas ja lihtsalt lisa, kustuta, muudaJärgmine:CentOS süsteemi juurutamise nacos õpetus
|
Üürileandja|
Postitatud 2021-12-13 13:37:35
|
Postitatud 2021-12-20 23:09:51
|
