Log4Pot

وعاء عسل لثغرة Log4Shell (CVE-2021-44228).

الترخيص: GPLv3.0

المميزات

• الاستماع على منافذ متعددة لاستغلال Log4Shell.
• كشف الاستغلال في سطر الطلب والترويسات.
• تنزيل حمولات الاستغلال بشكل تكراري.
• التسجيل في ملف وتخزين Azure blob.

الاستخدام

1. تثبيت Poetry: curl -sSL https://raw.githubusercontent.com/python-poetry/poetry/master/get-poetry.py | python3 -
2. جلب مستودع GitHub هذا git clone https://github.com/thomaspatzke/Log4Pot.git
3. الانتقال إلى النسخة المحلية باستخدام cd Log4Pot
4. تثبيت تبعيات pycurl (Debian / Ubuntu): apt install libcurl4-openssl-dev libssl-dev python3-dev build-essential
5. تثبيت تبعيات Python: poetry install
6. وضع المعاملات في log4pot.conf، انظر poetry run python log4pot.py --help للحصول على نظرة عامة.
7. التشغيل: poetry run python log4pot.py @log4pot.conf

بدلاً من ذلك، يمكنك أيضًا تشغيل log4pot بدون تبعيات خارجية:

$ python log4pot.py @log4pot.conf

سيؤدي هذا إلى تشغيل log4pot دون دعم التسجيل في تخزين Azure blob.

إعادة توجيه الحركة / إعداد غير حاوي

لإعادة توجيه الحركة إلى المنفذين 80 و443 إلى Log4Pot، استخدم أوامر iptables التالية:

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 8080

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 8443

أداة تحليل السجلات

البرنامج النصي log4pot-loganalyzer.py يستخرج جميع الحمولات، ويفك تشفيرها باستخدام مفكك التشفير الحالي، ويبني جدولًا زمنيًا من كليهما. استخدامه كما يلي:

python log4pot-loganalyzer.py -o <دليل المخرجات> <ملفات السجل المدخلة>

تحليل السجلات باستخدام JQ

قائمة الحمولات من محاولات الاستغلال:

select(.type == "exploit") | .payload

فك تشفير جميع الحمولات المشفرة بـ Base64 من استغلال JNDI:

select(.type == "exploit" and (.payload | contains("Base64"))) | .payload | sub(".*/Base64/"; "") | sub ("}$"; "") | @base64d

استخراج جميع تجزئات SHA256 من الملفات التي تم تنزيلها من عناوين URL:

[ .[] | select(.type == "payload") | .urls | select((. | length) > 0) | to_entries | .[].value | select((. | length) == 64) ] | unique | .[]