Log4j2漏洞复现与补丁绕过分析.pdfVIP

Log4j2复现原理补丁绕过

0x01前言

我tm都呕了，昨晚出了这个洞，在家复现半天没搞出来，然后凌晨快两点的时候成功了两次，然后又不行，然后睡了，贼jb。

然后今天来公司随便搞了两下就成功了，唯一的变化就是换了台电脑，贼jb。

经过测试就是jdk版本的问题。

0x02复现

这里我一共使用了两个jdk版本

8u202的情况比较特殊，其实我今天凌晨在家里用的也是8u202的版本，失败了。

今天来公司也是用的8u202版本的jdk，成功了。

我仔细研究了两者的不同，我发现唯一不同的就是我公司这个idea启的project带有springboot的库。

然后看了默安的一篇文章

明白了其中的

还可以参考以往的jndi注入

然后为了方便本地测试，就把jdk版本降下来了，高版本要搞也可以，需要加参数。

首先拉一个maven项目，把dependency搞上去

然后直接搞上一个poc

复现成功

触发没有难度，就是个jndi注入

撸一发各家的

安恒这个，我猜测和我遇到了一样的问题，所以没从本地复现，我猜测是这样，不一定对。

360，用的是挂类的方法来做复现，弹个计算器，我也来