Pēdējo divu dienu laikā draugu lokā to ir pārvilkusi "Apache Log4j2 attālās koda izpildes ievainojamība", galvenokārt tāpēc, ka komponentā ir Java JNDI injekcijas ievainojamība: kad programma ieraksta lietotāja ievadītos datus žurnālā, uzbrucējs izveido īpašu pieprasījumu, lai aktivizētu attālās koda izpildes ievainojamību Apache Log4j2, tādējādi izmantojot šo ievainojamību, lai mērķa serverī izpildītu patvaļīgu kodu.
Ietekmes joma
Apache Log4j 2.x <= 2.14.1
JNDI (Java nosaukumu un direktoriju interfeiss) ir Java nosaukumu un direktoriju interfeiss, ko nodrošina Java. Izsaucot JNDI API, lietojumprogrammas var atrast resursus un citus programmas objektus. JNDI ir svarīga Java EE daļa, jāatzīmē, ka tajā nav iekļauts tikai DataSource (JDBC datu avots), JNDI var piekļūt esošajiem direktorijiem un pakalpojumiem, piemēram: JDBC, LDAP, RMI, DNS, NIS, CORBA, izvilkums no Baidu enciklopēdijas.
Internetā ir daudz rakstu par to, kā novērst ievainojamību un ievainojamības ekrānuzņēmumus, bet maz par to, kā pārbaudīt projekta ievainojamību.Java izmanto Log4j2, lai pārbaudītu kodu galvenokārtŠādi:
Vienkārši sakot, Log4j2 piekļūs šādai adresei, izmantojot RMI vai LDAP protokolu, un saskaņā ar protokola saturu tas var izpildīt ļaunprātīgi izveidotu kodu.
Ievainojamības esamība gandrīz vienmēr tiek pierādīta internetā, atverot Windows kalkulatoru, un kods ir šāds:
Tā kā Log4J2 izmanto RMI vai LDAP protokolus, lai piekļūtu uzbrucēja serverim, un gan RMI, gan LDAP protokoli ir balstīti uz TCP, mēs to varam izdarīt tiešiIzmantojot .NET, lai klausītos TCP portā, ja zvans uz log4j2, lai drukātu žurnālus, piekļūst .NET klausīšanās portam, tas pierāda, ka var būt ievainojamība, un, ja nē, tas izrādās drošs。
.NET ģenerē ļoti mazas testa programmas6 kb, kods ir šāds:
Mēģiniet izmantot log4j komponentu2.14.0Versija ir izdrukāta, un atveidojums ir šāds:
Mēģiniet jaunināt log4j komponentu uz2.15.0versija, kas izpildīta vēlreiz, efekts ir šāds:
Pēc versijas jaunināšanas tiek konstatēts, ka pēc drukas žurnāla izsaukšanas,Java programma vairs nepiekļūst ārējam portam。
Ieinteresētie draugi, varat atsaukties uz šo saiti, lai reproducētu ievainojamību un izsauktu kalkulatoru.
Hipersaites pieteikšanās ir redzama.
Hipersaites pieteikšanās ir redzama.
Visbeidzot, pievienojiet testa procedūru:
测试程序.rar
(2.66 KB, Lejupielādes skaits: 1)
|
Publicēts 2021-12-11 21:06:29
|
|
|
|
Saimnieks|
Publicēts 2021-12-13 13:37:35
|
Publicēts 2021-12-20 23:09:51
|
