CVE-2021-44228-POC

Noch ein CVE-2021-44228 POC

Betroffene Log4j-Versionen: von 2.0-beta9 bis 2.14.1

Voraussetzungen

Verwendetes Java: OpenJDK 11

• https://jdk.java.net/archive/

Maven wird benötigt, um die Apps in diesem Repository zu bauen (alternativ können vorbereitete JAR-Dateien aus dem Release heruntergeladen werden):

• https://maven.apache.org/

Projekte bauen und ausführen

Beschreibung der Verzeichnisse:

• jndi - Projekt mit JNDI LDAP Reference Server
• web - Projekt mit verwundbarem Server
• provider - Projekt mit Code-Compiler & Server
• resources - Verzeichnis für zusätzliche Ressourcen (wie Screenshots)

Projekte bauen mit:

mvn clean install

JARs ausführen mit:

java -jar <jar>

Auszuführende Dateien (diese Dateien werden in <repo_name>/<project_name>/target generiert):

• jndi-1.0.0-jar-with-dependencies.jar (ausführen mit: java -jar jndi-1.0.0-jar-with-dependencies.jar "http://127.0.0.1:8081/#Exploit")
• web-1.0.0.jar (ausführen mit: java -jar web-1.0.0.jar) - läuft auf Port 8080
• provider-1.0.0.jar (ausführen mit: java -jar provider-1.0.0.jar) - läuft auf Port 8081

Alternativ Docker-Image bauen und ausführen - Docker-Abschnitt unterhalb der Screenshots

Grundlegende Verwendung

0. Starten Sie alle Projekte (wie oben)
1. Gehen Sie zu http://127.0.0.1:8081/
2. Kopieren Sie die Exploit-Vorlage und fügen Sie sie in das Java-Code-Feld ein
3. Gehen Sie zum verwundbaren Logger unter: http://127.0.0.1:8080/
4. Kopieren Sie das Payload aus dem Beispiel und senden Sie es an den Logger
5. Die Rechner-App sollte sich öffnen (Windows). Bei Linux und Mac sollte eine leere Datei namens "PWNED" im Verzeichnis /tmp erstellt werden.

Beschreibung

Derzeit kann die Schwachstelle ausgenutzt werden über:

• /logAction -> Post-Endpunkt (ausgelöst durch Payload in den Request-Headern oder Parameter "payload")
• /logGetHeaders -> Get-Endpunkt (ausgelöst durch Request-Header)
• /logPut -> Put-Endpunkt (ausgelöst durch Request-Header oder Request-Body):
• /logDelete -> Delete-Endpunkt (ausgelöst durch Request-Header oder Request-Body):

Screenshots

Java-Version:

Exploit-Vorbereitung + Kompilierung + Ausliefern der Klassendatei:

Payload (zu log4j zu liefern) Vorbereitung + Senden des Payloads:

JNDI-Referenz:

Ergebnis der Ausnutzung (Windows):

Ergebnis der Ausnutzung (GNU/Linux):

Docker

Sie können auch ein Docker-Image mit dem Dockerfile im Hauptverzeichnis des Repos bauen. Anleitung:

docker build . -t log4j_vuln
docker run -p 8080:8080 -p 8081:8081 log4j_vuln

So finden Sie die CONTAINER_ID:

docker ps

Um das Ergebnis der Ausnutzung (im Container) zu sehen:

docker exec -it <CONTAINER_ID> bash
ls -la /tmp

Docker-Container beenden mit:

docker container kill <CONTAINER_ID>

Haftungsausschluss

Der in diesem Repository präsentierte Code ist NUR FÜR BILDUNGSZWECKE bestimmt.
Ich unterstütze oder befürworte keine böswillige Nutzung von Daten aus diesem Repository.

Zusätzlich wird der Code in diesem Repository auf einer 'AS IS'-BASIS bereitgestellt - OHNE GEWÄHRLEISTUNGEN ODER BEDINGUNGEN JEGLICHER ART.

Weitere Informationen

https://www.lunasec.io/docs/blog/log4j-zero-day/