如何判断 Log4j 攻击成功

约 594 字大约 2 分钟

2025-11-02

1. 应用程序日志排查

Log4j 漏洞的本质是利用 JNDI 注入，所以攻击者会在 HTTP 请求头（如 User-Agent、Referer、X-Api-Version 等）中注入恶意字符串

恶意字符串特征：
- ${jndi:ldap://...}
- ${jndi:rmi://...}
- ${jndi:dns://...}
排查方法：
- 检查 Web 服务器（如 Nginx, Apache）的 access.log 或 error.log，以及应用程序自身的日志
- 使用 grep 命令搜索上述恶意字符串
- 示例命令：grep -r "jndi:ldap" /var/log/apache2/

2. 外部网络连接排查

当 Log4j 漏洞被成功利用后，受影响的应用程序会向攻击者指定的恶意 LDAP/RMI 服务器发起连接，以加载和执行恶意代码

排查方法：
- 检查系统的网络连接日志
- 使用 netstat 或 ss 命令查看是否有异常的、指向外部的 TCP 连接
- 示例命令：netstat -tulnp | grep LISTEN 和 netstat -tulnp | grep ESTABLISHED
需要警惕的连接：
- 应用程序进程（如 Java）发起的、指向高端口（例如 8080、9001 等）的外部连接
- 那些不是正常业务所需、但由 Java 进程发起的异常连接

3. 进程行为排查

如果攻击者成功加载并执行了恶意代码，通常会产生新的进程。这些进程可能是反向 Shell、挖矿程序或其他的后门程序

排查方法：
- 使用 ps -ef 或 top 命令检查正在运行的进程
- 关注与 Java 父进程不相关的、异常的子进程。例如，Java 进程下启动了一个名为 bash 或 sh 的子进程
- 重点关注：
  - 异常的进程名：如 httpd-、kdevtmpfsi 等，这些通常是挖矿程序的伪装名
  - 异常的 CPU 和内存占用：如果发现某个进程（尤其是非正常业务进程）占用了大量 CPU 资源，可能是挖矿程序

4. 系统文件和计划任务排查

攻击者为了实现持久化控制，通常会在系统中留下后门

排查方法：
- 检查 /tmp 或 /var/tmp 目录下是否有异常的可执行文件或脚本
- 检查 cron 计划任务（如 /etc/cron.d/）或 Windows 的任务计划程序，看是否有可疑的定时任务
- 检查用户的 ~/.ssh/authorized_keys 文件，看是否被添加了未知的公钥

版权所有