log4j2burpscanner

CVE-2021-44228, log4j2 Burp-Plugin Java-Version, dnslog verwendet eine Nicht-dnslog.cn-Domain

Ergebnisse wie folgt:

Testumgebung (langsam, aber die Internet-Assets sind in Ordnung; der Grund sollte sein, dass die Testumgebung andere Anfrage-Header nicht gut verarbeitet oder die Header zu groß sind, was zu einer langsamen Reaktion führt. Einfach etwas länger warten.)

Getestet an zwei SRC-Websites

Nach dem Laden wird eine URL bereitgestellt, über die die DNS-Einträge eingesehen werden können. Natürlich verfügt das Plugin selbst über eine integrierte DNS-Überprüfung; dies dient nur der späteren bequemen Ansicht.

Besonderheiten:

0x01 Senden von Payloads basierend auf Cookie-Feld, XFF-Header-Feld, UA-Header-Feld

0x02 Basierend auf der Einzigartigkeit des Domainnamens wird der Host in den dnslog aufgenommen

Das Plugin erkennt hauptsächlich fünf Formen:

1. GET-Anfrage, a=1&b=2&c=3

2. POST-Anfrage, a=1&b=2&c=3

3. POST-Anfrage, {“a”:”1”,”b”:”22222”}

4. POST-Anfrage, a=1&param={“a”:”1”,”b”:”22222”}

5. POST-Anfrage, {"params":{"a":"1","b":"22222"}}

Hinweis:

Wenn Sie im Repeater testen möchten

Muss dashbord → Live passive crawl from Proxy and Repeater öffnen → repeater aktivieren

Muss dashbord → Live audit from Proxy and Repeater öffnen → repeater aktivieren

Haftungsausschluss

Bitte nutzen Sie die Technologie oder den Code dieses Projekts nicht für illegale Zwecke wie die Erstellung von Malware, Diebstahl von Software-Urheberrechten/geistigem Eigentum oder unangemessene Gewinnerzielung. Die Durchführung der oben genannten Handlungen oder die Verwendung dieses Projekts zur Datenausspähung von Programmen, deren Urheberrecht nicht bei Ihnen liegt, kann gegen Artikel 217, 286 des Strafgesetzbuchs der Volksrepublik China, das Cybersicherheitsgesetz der Volksrepublik China, die Verordnung zum Schutz von Computersoftware der Volksrepublik China und andere gesetzliche Bestimmungen verstoßen. Die in diesem Projekt erwähnte Technologie darf nur für private Lern- und Testszenarien und andere legale Zwecke verwendet werden. Für jegliche straf- oder zivilrechtliche Haftung, die durch unsachgemäße Nutzung dieser Technologie entsteht, ist der Autor dieses Projekts nicht verantwortlich.