Actividad con pcap de log4j

Una actividad divertida que utiliza un archivo de captura de paquetes del exploit log4j (CVE-2021-44228)

Instrucciones

Abra Wireshark e importe el PCAP ubicado en este repositorio: log4j-exploit.pcap.
Observando los paquetes, responda las siguientes preguntas.

Preguntas

Fáciles

1. ¿Qué números de paquete contienen un handshake TCP de tres vías?
   pista: Hay 9.

2. Para el primer handshake, ¿qué IP y puerto del servidor está estableciendo una conexión con qué otra IP y puerto del servidor?

3. ¿Para el segundo?

4. ¿Qué servicio está asociado con el puerto de destino?

5. ¿Para el tercero?

6. Observando los primeros 4 paquetes, ¿qué podemos determinar que es el tipo de servicio que se ejecuta en 172.14.141.132:8080?

7. Observando el cuarto paquete, ¿qué encabezado contiene el payload para Log4shell (CVE-2021-44228)?

8. Observando los primeros 4 paquetes, ¿cuál es el primer paso del exploit?

9. ¿Qué paquete contiene la respuesta al paquete 4?

Difíciles

1. ¿Cuál es la dirección IP del servidor vulnerable? ¿Cuál es la dirección IP de la máquina atacante?

2. Después de recibir el payload inicial en el paquete 4 y recibir el paquete ACK, paquete 5, ¿qué acción toma el servidor vulnerable a continuación?

3. ¿Qué paquete de la máquina atacante contiene la información para redirigir el servidor vulnerable?

4. Observando este mismo paquete, ¿cuál es el nombre de la javaClass que estamos cargando?

5. ¿Cuál es el nombre de la javaFactory?

6. ¿Qué hace el servidor vulnerable a continuación? (Comenzando en el paquete 18)

7. ¿Qué paquete contiene el RCE que se envía al servidor?

8. Observando los 'datos' de este paquete, ¿cuál podría ser el comando RCE enviado al servidor vulnerable?

9. ¿Cuál es el orden de establecimiento y finalización de conexiones con los servicios y puertos en cada máquina?

10. ¿Qué tipo de servicio se ejecuta en cada uno de los siguientes puertos?:

• 172.16.141.132:8080

• 172.16.141.131:1389

• 172.16.141.131:8180

Resumen

Ahora que ha respondido las preguntas anteriores, resuma los pasos que sigue el exploit mientras se ejecuta. p. ej., Primero, se envía una solicitud http al servidor que contiene...