Per pastarąsias dvi dienas draugų rate jį perbraukė "Apache Log4j2 nuotolinio kodo vykdymo pažeidžiamumas", daugiausia dėl komponente esančio "Java JNDI" injekcijos pažeidžiamumo: kai programa įrašo vartotojo įvestus duomenis į žurnalą, užpuolikas sukuria specialią užklausą, kad suaktyvintų nuotolinio kodo vykdymo pažeidžiamumą "Apache Log4j2", taip išnaudodamas šį pažeidžiamumą, kad tiksliniame serveryje vykdytų savavališką kodą.
Įtakos apimtis
Apache Log4j 2.x <= 2.14.1
JNDI (Java Naming and Directory Interface) yra Java pavadinimų ir katalogų sąsaja, kurią teikia Java. Iškvietus JNDI API, programos gali rasti išteklius ir kitus programos objektus. JNDI yra svarbi Java EE dalis, reikia pažymėti, kad ji apima ne tik DataSource (JDBC duomenų šaltinį), JNDI gali pasiekti esamus katalogus ir paslaugas, tokias kaip: JDBC, LDAP, RMI, DNS, NIS, CORBA, ištrauka iš Baidu enciklopedijos.
Internete yra daug straipsnių apie tai, kaip ištaisyti pažeidžiamumus ir pažeidžiamumų ekrano kopijas, bet mažai apie tai, kaip patikrinti projekto pažeidžiamumą."Java" naudoja "Log4j2" kodui išbandyti daugiausiaTaip:
Paprasčiau tariant, "Log4j2" pasieks šį adresą per RMI arba LDAP protokolą ir, atsižvelgiant į protokolo turinį, gali vykdyti kenkėjiškai sukonstruotą kodą.
Pažeidžiamumo buvimas beveik visada įrodomas internete atidarius "Windows" skaičiuotuvą, o kodas yra toks:
Kadangi "Log4J2" naudoja RMI arba LDAP protokolus, kad pasiektų užpuoliko serverį, o RMI ir LDAP protokolai yra pagrįsti TCP, galime tai padaryti tiesiogiaiNaudojant .NET klausytis TCP prievado, jei skambutis į log4j2 spausdinti žurnalus pasiekia .NET klausymosi prievadą, tai įrodo, kad gali būti pažeidžiamumas, o jei ne, jis pasirodo saugus。
.NET generuoja labai mažas testavimo programas6 KB, kodas yra toks:
Pabandykite naudoti log4j komponentą2.14.0Versija spausdinama, o atvaizdavimas yra toks:
Pabandykite atnaujinti log4j komponentą į2.15.0versija, vykdoma dar kartą, poveikis yra toks:
Atnaujinus versiją, nustatyta, kad paskambinus spausdinimo žurnalui,"Java" programa nebepasiekia išorinio prievado。
Susidomėję draugai, galite peržiūrėti šią nuorodą, kad atkurtumėte pažeidžiamumą ir iškviestumėte skaičiuoklę.
Hipersaito prisijungimas matomas.
Hipersaito prisijungimas matomas.
Galiausiai pridėkite bandymo procedūrą:
测试程序.rar
(2.66 KB, Atsisiuntimų skaičius: 1)
|
Publikuota: 2021-12-11 21:06:29
|
|
|
|
Savininkas|
Publikuota: 2021-12-13 13:37:35
|
Publikuota: 2021-12-20 23:09:51
|
