مختبر استغلال Log4Shell (CVE-2021-44228)

أعدت إنتاج ثغرة Log4Shell من البداية إلى النهاية في بيئة مختبرية معزولة، بدءًا من الاستغلال الأولي وصولًا إلى تقرير معالجة كامل. نُفذ هذا العمل كجزء من واجب ماجستير مشترك مع Aditya Chaudhari، وكُتب معًا كتقرير مشترك.

ما قمت به

• أعددت تطبيق ويب Tomcat قائمًا على Log4j القابل للاستغلال داخل حاوية Docker
• كتبت سكربت Python لتوليد حمولة الاستغلال، ثم شغّلت خادم LDAP خبيثًا وخادم HTTP لتقديمها
• فعّلت سلسلة حقن JNDI بإرسال سلسلة بحث مصممة خصيصًا، ثم التقطت الصدفة العكسية الناتجة باستخدام netcat وأكدت وصول الجذر
• أعدت بناء نفس الحاوية باستخدام Dockerfile محصّن (تعطيل عمليات بحث JNDI عبر JAVA_OPTS) وأكدت أن الاستغلال لم يعد يعمل
• كتبت تقرير ثغرات منظم يغطي السبب الجذري وتاريخ التصحيحات وتدابير التخفيف على مستوى الشبكة، وهو النوع الذي قد تقدمه فعليًا لعميل أو فريق تطوير

لماذا اتبعت هذا الأسلوب

أردت أن أفهم سلسلة الاستغلال الكاملة بنفسي بدلًا من مجرد القراءة عنها. تُعد Log4Shell ثغرة جيدة للتعلم منها لأنها تلامس تحميل فئات Java وLDAP وJNDI في آن واحد، وقصة التصحيح اللاحقة تعلّمك كيف تبدو المعالجة الفعلية بما يتجاوز مجرد تطبيق تحديث.

لقطات الشاشة