驗(yàn)證demo

patch前后效果對比

patch前，利用漏洞訪問 1.5gwpt7.dnslog.cn 成功;patch后，利用漏洞訪問 2.5gwpt7.dnslog.cn 失敗;手動(dòng)訪問 curl 3.5gwpt7.dnslog.cn 成功，證明 dnslog 有效(附時(shí)間戳證明連續(xù)性)。

2. 如果業(yè)務(wù)無法訪問互聯(lián)網(wǎng)服務(wù)，還可以使用青藤提供的離線jar包進(jìn)行熱修復(fù)

jar包修復(fù)原理：利用 JVM 提供的 Instrumentation API來更改加載到 JVM 中的現(xiàn)有字節(jié)碼，https://docs.oracle.com/javase/6/docs/api/java/lang/instrument/Instrumentation.html。在不重啟Java進(jìn)程的情況下，修改org.apache.logging.log4j.core.lookup.JndiLookup類的lookup方法，固定返回Patched JndiLookup::lookup()。
       2.1https://cve-2021-44228.qingteng.cn/patch/jar/cve-2021-44228-qingteng-patch.tar.gz地址下載Log4jPatch的jar包。

2.2 Log4jPatch的jar包上傳到存在漏洞的服務(wù)器，然后執(zhí)行命令。

Linux：傳到服務(wù)器，然后解壓，cd 進(jìn)入到解壓后的cve-2021-44228-qingteng-patch目錄，參考 README.md，執(zhí)行 attach.sh 。

attach.sh例子

● ./attach.sh 不帶pid將使用jps列出此機(jī)器上所有java進(jìn)程，然后輸入行號選擇進(jìn)程來進(jìn)行注入修復(fù)，輸入all將會注入所有列出的java進(jìn)程。

● 可輸入多個(gè)，空格分割。

windows：

● 雙擊 attach.bat, 然后輸入java進(jìn)程pid

● 或者cmd命令行里傳入pid，例如: attach.bat pid

2.3 離線的修復(fù)驗(yàn)證：按照之前查找驗(yàn)證存在漏洞的方式進(jìn)行測試，如：burpcollaborator進(jìn)行驗(yàn)證，漏洞驗(yàn)證不成功則說明漏洞修復(fù)成功。

注意：使用以上兩種修復(fù)方式需要您擁有系統(tǒng)的所有權(quán)，并且理解修復(fù)的原理和方法。

FAQ：

Q：青藤怎么保證修復(fù)方式安全可靠?

A：

1.青藤完全不需要您提供業(yè)務(wù)的漏洞細(xì)節(jié)，這完全掌握您的手中，我們并不清楚也不需要具體的注入點(diǎn);

2.源碼開源，項(xiàng)目地址:

https://github.com/qingtengyun/cve-2021-44228-qingteng-online-patch 和https://github.com/qingtengyun/cve-2021-44228-qingteng-patch;

3.開源項(xiàng)目中提供了所用到的class文件和jar包文件的hash值;

4.到https://cve-2021-44228.qingteng.cn/patch/class/patch.class和https://cve-2021-44228.qingteng.cn/patch/jar/cve-2021-44228-qingteng-patch.tar.gz下載class文件和jar包進(jìn)行對比。

Q：青藤patch修復(fù)之后就永久生效么?

A：只要不重啟服務(wù)，該方式可以一直生效，一旦您重啟了服務(wù)，需要再次對注入點(diǎn)打patch，直到代碼級修復(fù)上線。

Q：青藤提供的修復(fù)支持的java版本是多少?

A：在線修復(fù)patch支持JDK版本6、7、8、9、10、11，離線修復(fù)的支持JDK版本6、7、8、9、10、11。

Q：我不知道注入點(diǎn)在哪里，但是引用了Log4j，能使用青藤的修復(fù)補(bǔ)丁么?

A：可以，使用離線jar包不需要提供注入點(diǎn)，只需要知道進(jìn)程id。

Q：我不知道我有沒有用Log4j，你能幫我看看么?

A：關(guān)注公眾號「青藤技術(shù)服務(wù)」，點(diǎn)擊《一夜沒睡的你，需要快速了解主機(jī)資產(chǎn)》了解詳情。

songjy