探讨如何利用反射修复Log4j2的方法

枫少@KillBoy 2022年3月16日06:50:22信息安全来源:宽字节安全评论浏览量:163次
高性能云服务器2折起

最近一天被log4j2刷屏了,多说一句,这个漏洞其实非常考验安全人员的应急能力,代码能力和社交能力。漏洞都三天了,竟然还有人在要exp,现在做安全的人都这么水了吗?

我们向开发者给出安全建议的时候,一定要结合业务方具体需求,不要给出不切合实际的修复方案。即不能宕机,又要保证安全性。

还有很多写规则的乙方waf同学,漏洞自己都没研究明白,就要写规则,结果误报一大堆。

修复方法1,升级

这种方案是最简单的,但是需要关闭应用,重新打包,提测。但是这种修复方案是最彻底的。当然,如果因为某些原因不方便关闭应用,那么下面几种方法可能最适合业务方。

修复方法2,修改配置文件

这个修复方法也需要暂时关闭应用,配置方法 log4j2.formatMsgNoLookups=True。当然,既然选择这种修复方案,那还不如选择第一种修复方案比较彻底。

修复方法3,javaagent

这个方法,需要给JDK注入一个jar,在jar中将存在漏洞的class代码直接修改。缺点?有可能业务方不愿意用你的rasp。毕竟拖拖拉拉,万一影响业务性能巴拉巴拉怎么整?

但是优点不需要关闭站点,不会影响线上业务。

参考长亭 https://github.com/chaitin/log4j2-vaccine

修复方法4,反射修改属性

这种方法同样也不需要重启应用,只需要可以在对方的JVM中执行代码,就可以修复。无任何风险。当然前提一定是可以执行代码,方式包括jsp文件等。

这东西其实就是内存马的核心思想,包括DFS搜索对象等等~

探讨如何利用反射修复Log4j2的方法

探讨如何利用反射修复Log4j2的方法

既然我们已经知道了,最终根据前缀来找到最终的处理程序,也就是lookup。那么我们通过反射,直接修改strLookUPMap不就可以。

log4j2中,配置文件是用单例模式,所以非常容易修改。。

通过反射修改这个对象,首先我们要拿到这个对象的引用。

使用我这段通过DFS搜索对象的工具。

探讨如何利用反射修复Log4j2的方法
探讨如何利用反射修复Log4j2的方法
探讨如何利用反射修复Log4j2的方法

选择一个我们喜欢的对象查找路径,然后将其变成反射代码就可以了。代码大概如图探讨如何利用反射修复Log4j2的方法探讨如何利用反射修复Log4j2的方法

把这段代码包装成jsp文件,直接上传到web站点运行就行。当然如果是springboot的话,想办法执行代码也是可以的。

最终成功的没有触发jndi请求。

代码

    Object obj = LogManager.getLogger();
    Field contextF = obj.getClass().getDeclaredField("context");
    contextF.setAccessible(true);
    Object context = contextF.get(obj);
    Field configurationF = context.getClass().getDeclaredField("configuration");
    configurationF.setAccessible(true);
    Object configuration = configurationF.get(context);
    Field substF = configuration.getClass().getSuperclass().getDeclaredField("subst");
    substF.setAccessible(true);
    Object subst = substF.get(configuration);
    Field variableResolverF = subst.getClass().getDeclaredField("variableResolver");
    variableResolverF.setAccessible(true);
    Object variableResolver = variableResolverF.get(subst);
    Field strLookupMapF = variableResolver.getClass().getDeclaredField("strLookupMap");
    strLookupMapF.setAccessible(true);
    HashMap strLookupMap = (HashMap) strLookupMapF.get(variableResolver);
    strLookupMap.remove("jndi");

以上几种方法仅供参考

 

高性能云服务器2折起
枫少@KillBoy
高性能云服务器2折起
匿名

发表评论

匿名网友

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: