horrors-log4shell

Ein Mikro-Labor (Spielplatz?) für CVE-2021-44228 (log4j)

• Kann zum Ausführen von Payloads gegen mehrere Ziele verwendet werden.
• Zielspezifische Payloads werden zur Laufzeit generiert.
• Anpassbare Konfiguration und Bypasses.

Installation

Java-bezogene Voraussetzungen

• Entwicklung / laufendes Beispiel
  • Gradle
  • Maven
• Um die aktuellen log4j-bezogenen Schwachstellen (CVE-2021-44228, CVE-2021-45046) zu testen:
  • JDK 8u121
  • Ysoserial kompiliertes JAR (https://github.com/frohoff/ysoserial)
• Stelle sicher, dass auf beiden Seiten kompatible JDKs vorhanden sind.

Python-Voraussetzungen

% pip3 install pyasn1 pyjnius git+https://github.com/tasooshi/horrors

Verwendung

Schritt 1: Konfiguration

Kopiere und passe die Konfigurationsdatei attacker_config.py.example an.

Schritt 2: Ausführen der verwundbaren Anwendung

Lauscht standardmäßig auf 8080 und stellt zwei Pfade bereit: / und /endpoint:

$ cd Vulnerable; mvn spring-boot:run

Schritt 3: Ausführen des Datensammler-Dienstes

Dieser Daemon sammelt Daten von ausgenutzten Maschinen und protokolliert sie in einer JSON-Datei:

(.venv) $ ./collector.py

Schritt 4: Ausführen des Angriffs:

Öffnet mehrere Ports, die zu einem einzelnen JNDI-Handler (class JNDI(services.Service)) weitergeleitet werden. Beginnt automatisch mit dem Senden von Anfragen:

(.venv) $ ./attacker.py

Besuche http://127.0.0.1:8889/send-requests, um die Anfragen erneut zu senden.

Überprüfung:

Am Ende sollten die folgenden Dienste laufen:

• collector.py auf Port 8888
• attacker.py für statische Inhalte und Steuerung auf Port 8889
• attacker.py auf den Ports 1389 und 8443
• Vulnerable.java auf Port 8080