CVE-2021-44228 Log4Shell POC

Übersicht

Proof of Concept für Remote Code Execution über eine JNDI-Injection-Schwachstelle in Apache Log4j 2.14.1. Web Hacking Kurs - Woche 11 Aufgabe.

Umgebung

Dateistruktur

log4shell-poc/
├── vulnerable-server/     # Vulnerable Spring Boot server
│   ├── pom.xml
│   └── src/main/java/com/example/vulnerable/
│       ├── App.java
│       └── MainController.java
├── exploit/
│   └── Exploit.java       # Malicious class source
└── attacker/
    └── commands.md        # Attack commands reference

So wird es ausgeführt

Starte den verwundbaren Server

cd vulnerable-server
mvn clean package -DskipTests
/opt/jdk1.8.0_181/bin/java -jar target/log4shell-vuln-0.0.1-SNAPSHOT.jar

Führe den Angriff aus

Siehe attacker/commands.md für Schritt-für-Schritt-Angriffsbefehle.

Angriffsablauf

1. Senden Sie den JNDI-Payload über den X-Api-Version HTTP-Header mit curl.
2. Log4j parst den Payload und löst automatisch eine JNDI-Lookup aus.
3. Der marshalsec LDAP-Server antwortet mit der URL für Exploit.class.
4. Die Opfer-JVM lädt Exploit.class vom HTTP-Server herunter und lädt es.
5. Der statische Block wird automatisch ausgeführt und verbindet eine Reverse-Shell mit dem nc-Listener.
6. RCE erreicht – beliebige Befehlsausführung auf dem Opfer-Server.

Wichtige technische Details

• Verwundbarer Punkt: logger.info() übergibt Benutzereingaben ohne Bereinigung direkt an Log4j.
• Grundursache: Log4j 2.x wertet ${...}-Ausdrücke in Logmeldungen aus.
• JDK-Anforderung: JDK 8u181 oder niedriger erforderlich (trustURLCodebase=true standardmäßig).
• Patch: Log4j 2.15.0+ deaktiviert JNDI-Lookup standardmäßig.

Haftungsausschluss

Dieser POC dient nur zu Bildungszwecken. NICHT gegen Systeme ohne explizite Erlaubnis verwenden.