CVE-2021-44228 Log4Shell POC

Descripción general

Prueba de concepto para la ejecución remota de código mediante la vulnerabilidad de inyección JNDI en Apache Log4j 2.14.1. Curso de hacking web: tarea de la semana 11.

Entorno

Estructura de archivos

log4shell-poc/
├── vulnerable-server/     # Vulnerable Spring Boot server
│   ├── pom.xml
│   └── src/main/java/com/example/vulnerable/
│       ├── App.java
│       └── MainController.java
├── exploit/
│   └── Exploit.java       # Malicious class source
└── attacker/
    └── commands.md        # Attack commands reference

Cómo ejecutar

Iniciar servidor vulnerable

cd vulnerable-server
mvn clean package -DskipTests
/opt/jdk1.8.0_181/bin/java -jar target/log4shell-vuln-0.0.1-SNAPSHOT.jar

Ejecutar el ataque

Consulta attacker/commands.md para ver los comandos de ataque paso a paso.

Flujo del ataque

1. Enviar el payload JNDI mediante la cabecera HTTP X-Api-Version usando curl
2. Log4j analiza el payload y activa automáticamente la búsqueda JNDI
3. El servidor LDAP de marshalsec responde con la URL de Exploit.class
4. La JVM de la víctima descarga y carga Exploit.class desde el servidor HTTP
5. El bloque estático se ejecuta automáticamente y conecta una reverse shell al listener de nc
6. Se logra RCE: ejecución arbitraria de comandos en el servidor víctima

Detalles técnicos clave

• Punto vulnerable: logger.info() pasa la entrada del usuario directamente a Log4j sin sanitización
• Causa raíz: Log4j 2.x evalúa las expresiones ${...} dentro de los mensajes de log
• Requisito de JDK: se requiere JDK 8u181 o inferior (trustURLCodebase=true por defecto)
• Parche: Log4j 2.15.0+ desactiva la búsqueda JNDI por defecto

Descargo de responsabilidad

Este POC es solo con fines educativos. NO lo utilices contra sistemas sin permiso explícito.