CVE-2021-44228 Log4Shell POC

Aperçu

Preuve de Concept pour l'exécution de code à distance via la vulnérabilité d'injection JNDI dans Apache Log4j 2.14.1. Cours de Web Hacking - Devoir de la Semaine 11.

Environnement

Structure des fichiers

log4shell-poc/
├── vulnerable-server/     # Serveur Spring Boot vulnérable
│   ├── pom.xml
│   └── src/main/java/com/example/vulnerable/
│       ├── App.java
│       └── MainController.java
├── exploit/
│   └── Exploit.java       # Source de la classe malveillante
└── attacker/
    └── commands.md        # Référence des commandes d'attaque

Comment exécuter

Démarrer le serveur vulnérable

cd vulnerable-server
mvn clean package -DskipTests
/opt/jdk1.8.0_181/bin/java -jar target/log4shell-vuln-0.0.1-SNAPSHOT.jar

Lancer l'attaque

Voir attacker/commands.md pour les commandes d'attaque étape par étape.

Déroulement de l'attaque

1. Envoyer la charge utile JNDI via l'en-tête HTTP X-Api-Version en utilisant curl
2. Log4j analyse la charge utile et déclenche automatiquement la recherche JNDI
3. Le serveur LDAP marshalsec répond avec l'URL de Exploit.class
4. La JVM victime télécharge et charge Exploit.class depuis le serveur HTTP
5. Le bloc statique s'exécute automatiquement, connectant un reverse shell à l'écouteur nc
6. RCE obtenue - exécution de commandes arbitraires sur le serveur victime

Détails techniques clés

• Point vulnérable : logger.info() transmet directement l'entrée utilisateur à Log4j sans assainissement
• Cause racine : Log4j 2.x évalue les expressions ${...} dans les messages de journal
• Prérequis JDK : JDK 8u181 ou inférieur requis (trustURLCodebase=true par défaut)
• Correctif : Log4j 2.15.0+ désactive la recherche JNDI par défaut

Avertissement

Ce POC est à des fins éducatives uniquement. Ne PAS utiliser contre des systèmes sans autorisation explicite.