log4j2burpscanner

CVE-2021-44228, complemento de Burp para log4j2 en versión Java. dnslog selecciona un dominio no perteneciente a dnslog.cn.

Resultados:

Del campo de tiro (el campo de tiro es lento, pero los activos en Internet no tienen problema; la razón probablemente es que el campo de tiro maneja mal otros encabezados de solicitud, o el tamaño del encabezado es demasiado grande, lo que provoca que el campo de tiro responda lentamente; solo hay que esperar un poco más)

Se probaron dos sitios SRC

Después de cargar, se proporciona una URL; al visitarla se pueden consultar los registros DNS. Por supuesto, el complemento posee su propia función de verificación de registros DNS; esto solo sirve para facilitar la consulta posterior.

Características:

0x01 Enviar payload basado en el campo Cookie, campo de cabecera XFF y campo de cabecera User-Agent.

0x02 Basado en la unicidad del dominio, incluir el host en el dnslog.

El complemento reconoce principalmente cinco formas:

1. Solicitud GET, a=1&b=2&c=3
2. Solicitud POST, a=1&b=2&c=3
3. Solicitud POST, {"a":"1","b":"22222"}
4. Solicitud POST, a=1&param={"a":"1","b":"22222"}
5. Solicitud POST, {"params":{"a":"1","b":"22222"}}

Nota:

Si se desea probar en el Repetidor

Es necesario abrir el panel → Live passive crawl from Proxy and Repeater → marcar Repetidor

Es necesario abrir el panel → Live audit from Proxy and Repeater → marcar Repetidor

Descargo de responsabilidad

No utilice la tecnología o el código de este proyecto para fines ilegales como la creación de software malicioso, el robo de derechos de autor/propiedad intelectual de software, o la obtención de beneficios indebidos. La realización de las acciones anteriores o el uso de este proyecto para la interceptación de datos de programas que no son de su propiedad podría violar los artículos 217 y 286 del Código Penal de la República Popular China, la Ley de Seguridad Cibernética de la República Popular China, el Reglamento de Protección de Software de Computadora de la República Popular China, entre otras disposiciones legales. La tecnología mencionada en este proyecto solo puede utilizarse en escenarios legales como pruebas de aprendizaje privadas. Cualquier responsabilidad penal o civil derivada del uso indebido de esta tecnología no corresponde al autor del proyecto.