log4j-pcap-activity

Une activité ludique utilisant un fichier de capture de paquets de l'exploit log4j (CVE-2021-44228)

Instructions

Ouvrez Wireshark et importez le PCAP situé dans ce dépôt : log4j-exploit.pcap.
En examinant les paquets, répondez aux questions suivantes.

Questions

Facile

1. Quels numéros de paquets contiennent une poignée de main TCP en 3 étapes ?
   Indice : Il y en a 9.

2. Pour la première poignée de main, quelle adresse IP et quel port serveur établissent une connexion avec quelle autre adresse IP et quel port ?

3. Pour la deuxième ?

4. Quel service est associé au port de destination ?

5. Pour la troisième ?

6. En regardant les 4 premiers paquets, que pouvons-nous déterminer comme type de service exécuté sur 172.14.141.132:8080 ?

7. En regardant le 4e paquet, quel en-tête contient la charge utile pour Log4shell (CVE-2021-44228) ?

8. En regardant les 4 premiers paquets, quelle est la première étape de l'exploit ?

9. Quel paquet contient la réponse au paquet 4 ?

Difficile

1. Quelle est l'adresse IP du serveur vulnérable ? Quelle est l'adresse IP de la machine attaquante ?

2. Après avoir reçu la charge utile initiale dans le paquet 4 et reçu le paquet ACK, paquet 5, quelle action le serveur vulnérable entreprend-il ensuite ?

3. Quel paquet de la machine attaquante contient les informations pour rediriger le serveur vulnérable ?

4. En regardant ce même paquet, quel est le nom de la javaClass chargée ?

5. Quel est le nom de la javaFactory ?

6. Que fait le serveur vulnérable ensuite ? (À partir du paquet 18)

7. Quel paquet contient la RCE envoyée au serveur ?

8. En regardant les 'data' de ce paquet, quelle pourrait être la commande RCE envoyée au serveur vulnérable ?

9. Quel est l'ordre d'établissement et de fin des connexions avec les services et les ports sur chaque machine ?

10. Quel type de service s'exécute sur chacun des ports suivants :

    • 172.16.141.132:8080
    • 172.16.141.131:1389
    • 172.16.141.131:8180

Résumé

Maintenant que vous avez répondu aux questions ci-dessus, résumez les étapes que l'exploit suit lorsqu'il s'exécute. Ex. D'abord, une requête HTTP est envoyée au serveur contenant…