log4j2burpscanner

CVE-2021-44228, plugin Burp pour log4j2 (version Java), le dnslog utilise un domaine qui n'est pas dnslog.cn. Résultat :

Du laboratoire (le laboratoire est assez lent, mais les actifs Internet ne posent aucun problème. La raison est probablement que le laboratoire ne traite pas bien les autres en-têtes de requête, ou que les en-têtes sont trop volumineux, ce qui le rend plus lent ; il suffit d'attendre un peu plus.)

Test de deux sites SRC

Après le chargement, une URL est fournie ; il suffit de la visiter pour consulter les enregistrements DNS. Bien sûr, le plugin dispose déjà de sa propre vérification des enregistrements DNS ; cela ne sert qu'à faciliter la consultation ultérieure.

Caractéristiques :

0x01 Envoi du payload via les champs Cookie, XFF et UA

0x02 Sur la base de l'unicité du domaine, le host est intégré au dnslog

Le plugin reconnaît principalement cinq formes :

1. Requête GET, a=1&b=2&c=3
2. Requête POST, a=1&b=2&c=3
3. Requête POST, {“a”:”1”,”b”:”22222”}
4. Requête POST, a=1&param={“a”:”1”,”b”:”22222”}
5. Requête POST, {"params":{"a":"1","b":"22222"}}

Remarque :

Si vous devez effectuer des tests dans Repeater

Vous devez ouvrir dashbord → Live passive crawl from Proxy and Repeater → cocher Repeater

Vous devez ouvrir dashbord → Live audit from Proxy and Repeater → cocher Repeater

Avertissement

N'utilisez pas la technologie ou le code de ce projet à des fins illégales, telles que la création de logiciels malveillants, le vol de droits d'auteur / de propriété intellectuelle ou l'obtention de profits illicites. Effectuer ces actions ou utiliser ce projet pour sniffer les données de programmes dont vous ne détenez pas les droits d'auteur est susceptible de violer des dispositions légales telles que l'article 217 et l'article 286 du Code pénal de la République populaire de Chine, la Loi sur la sécurité des réseaux de la République populaire de Chine, le Règlement sur la protection des logiciels informatiques de la République populaire de Chine, etc. La technologie mentionnée dans ce projet ne doit être utilisée que pour des scénarios légitimes tels que l'apprentissage privé et les tests. Toute responsabilité pénale ou civile résultant d'une mauvaise utilisation de cette technologie ne saurait être imputée à l'auteur de ce projet.