Log4Pot

Un honeypot para la vulnerabilidad Log4Shell (CVE-2021-44228).

Licencia: GPLv3.0

Características

• Escucha en varios puertos para la explotación de Log4Shell.
• Detecta la explotación en la línea de solicitud y en las cabeceras.
• Descarga cargas útiles de exploits de forma recursiva.
• Registra en archivos y en Azure Blob Storage.

Uso

1. Instala Poetry: curl -sSL https://raw.githubusercontent.com/python-poetry/poetry/master/get-poetry.py | python3 -
2. Clona este repositorio de GitHub git clone https://github.com/thomaspatzke/Log4Pot.git
3. Cambia al directorio de la copia local con cd Log4Pot
4. Instala las dependencias de pycurl (Debian / Ubuntu): apt install libcurl4-openssl-dev libssl-dev python3-dev build-essential
5. Instala las dependencias de Python: poetry install
6. Coloca los parámetros en log4pot.conf; consulta poetry run python log4pot.py --help para obtener una descripción general.
7. Ejecuta: poetry run python log4pot.py @log4pot.conf

Alternativamente, también puedes ejecutar log4pot sin dependencias externas:

$ python log4pot.py @log4pot.conf

Esto ejecutará log4pot sin soporte para registrar en Azure Blob Storage.

Redirigir tráfico / configuración sin contenedor

Para redirigir el tráfico de los puertos 80 y 443 hacia Log4Pot, usa los siguientes comandos de iptables:

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 8080

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 8443

Herramienta de análisis de registros

El script log4pot-loganalyzer.py extrae todas las cargas útiles, las decodifica con el decodificador actual y construye una línea temporal a partir de ambos. Su uso es el siguiente:

python log4pot-loganalyzer.py -o <output directory> <input log files>

Análisis de registros con JQ

Lista las cargas útiles de los intentos de explotación:

select(.type == "exploit") | .payload

Decodifica todas las cargas útiles codificadas en base64 del exploit JNDI:

select(.type == "exploit" and (.payload | contains("Base64"))) | .payload | sub(".*/Base64/"; "") | sub ("}$"; "") | @base64d

Extrae todos los hashes SHA256 de los archivos descargados desde URLs:

[ .[] | select(.type == "payload") | .urls | select((. | length) > 0) | to_entries | .[].value | select((. | length) == 64) ] | unique | .[]