Log4Shell (CVE-2021-44228) — تقرير بحثي

تقرير تقني مكتفٍ بذاته حول Log4Shell، ثغرة تنفيذ التعليمات البرمجية عن بُعد الحرجة في Apache Log4j 2 التي أُعلن عنها في ديسمبر 2021. يغطي تحليل السبب الجذري، وسلسلة الهجوم الكاملة، وإرشادات الكشف/التخفيف، وإعادة إنتاج استغلال شاملة أُجريت في مختبر محلي معزول، مع أدلة من الطرفية والسجلات.

عرض التقرير المباشر →

ما بداخله

• نظرة عامة على الثغرة — ما هي Log4Shell ولماذا كانت كارثية
• التحليل الفني — مسار الشيفرة البرمجية الضعيفة في JndiLookup.java وتدفق الهجوم في أربع خطوات
• إثبات المفهوم — شرح كامل: هدف Docker ضعيف، ومعيد توجيه LDAP خبيث (marshalsec)، وفئة الحمولة، والمشغِّل
• التحقق المخبري — لقطات شاشة من إعادة إنتاج محلية فعلية لسلسلة الاستغلال (إعداد الهدف، وسجلات خادم LDAP/HTTP، وتأكيد تنفيذ الكود)
• الخط الزمني للإفصاح — التواريخ الرئيسية من الاكتشاف حتى اكتمال التصحيح
• الكشف والتخفيف — أنماط الكشف المستندة إلى السجلات والإصلاحات الرسمية المعتمدة على JVM/الإصدار

التقنية / المصادر

• التطبيق الهدف: christophetd/log4shell-vulnerable-app (Log4j 2.14.1)
• معيد توجيه JNDI/LDAP: mbechler/marshalsec
• كل المحتوى هو HTML/CSS ثابت — لا خطوة بناء، ولا تبعيات

التشغيل محليًا

فقط افتح الملف في المتصفح — لا خادم مطلوب:

git clone https://github.com/sanasimran1403-jpg/log4shell-report-with-evidence.git
cd log4shell-report-with-evidence
open index.html   # or double-click it

إخلاء مسؤولية

هذا التقرير وإعادة الإنتاج المخبرية المصاحبة له مخصصة لأغراض تعليمية وبحث أمني مصرح به فقط. تم تنفيذ جميع عمليات الاستغلال المعروضة ضد تطبيق ضعيف عمدًا في بيئة Docker محلية معزولة يتحكم بها المؤلف. اختبار الأنظمة دون إذن كتابي صريح يعد غير قانوني بموجب قانون CFAA وقانون إساءة استخدام الحواسيب في المملكة المتحدة والقوانين المماثلة في أماكن أخرى.

المؤلف: Sana Simran — S&S Independent Security Research, 2026