metodidavidovic/log4j-quick-scanScannez votre réseau IP et identifiez les hôtes présentant une possible vulnérabilité CVE-2021-44228 dans la bibliothèque log4j.
Analysez votre réseau IP et identifiez les hôtes présentant une éventuelle vulnérabilité CVE-2021-44228 dans la bibliothèque log4j.
Il existe des outils bien meilleurs et plus avancés pour l'audit de sécurité, mais beaucoup d'entre eux nécessitent un logiciel de pénétration commercial ou un service ou logiciel externe tiers.
Ce script est conçu pour être un petit outil rapide et indépendant. Il ne confirmera pas que vos serveurs et appareils sont 100% sécurisés. Considérez-le comme l'un des nombreux outils que vous devriez utiliser pour auditer votre environnement informatique. Peut être utilisé sur des adresses IP privées et publiques.
Le script n'est pas une démonstration d'exploit log4shell. Il ne causera aucun dommage ni ne tentera d'exécuter du code à distance.
Le script crée une requête HTTPS (ports se terminant par 443) ou HTTP (tous les autres ports), avec une chaîne spéciale dans les champs : User-Agent, X-Api-Version et X-Forwarded-For. Cette chaîne spéciale est au format ${jndi:ldap://some_listen_host:port} .
Si une bibliothèque log4j vulnérable est utilisée pour journaliser l'activité utilisateur (notre requête http) quelque part dans le chemin « utilisateur -> service | équilibreurs de charge -> sécurité -> serveurs -> journalisation », elle analysera la chaîne JNDI et tentera d'établir une session LDAP vers notre some_listen_host:port.
Si nous surveillons le trafic sur some_listen_host:port et détectons de tels paquets, leur source doit être examinée plus en détail.
Les ports par défaut où les requêtes http(s) sont envoyées sont 80, 8080, 443 et 8443.
Ces deux hôtes peuvent être la même machine.
Sur l'hôte d'écoute, démarrez tcpdump pour capturer les paquets reçus sur un port TCP libre. Exemple :
tcpdump -nn -i ens160 tcp port 12345
Sur l'hôte Linux, exécutez le script avec les paramètres requis. Exemple :
./log4j-quick-scan.py -e 192.168.0.3:12345 192.168.0.0/24"
Cela testera le réseau 192.168.0.0/24 en essayant de déclencher une connexion TCP vers l'hôte d'écoute 192.158.0.3 sur le port 12345.
Surveillez la sortie tcpdump sur l'hôte d'écoute. Les cibles suspectes de vulnérabilité log4j analyseront la chaîne JNDI et tenteront d'établir une connexion LDAP.
Il est inefficace et extrêmement lent de scanner tous les ports. Étant donné que la bibliothèque log4j est utilisée dans de nombreux produits, déterminez d'abord quels ports web sont utilisés dans votre environnement. Exécutez le script avec votre liste de ports personnalisée.
Il existe trop d'éléments qui peuvent empêcher le script et d'autres outils de découvrir extérieurement la vulnérabilité log4j. Certains d'entre eux sont : les pare-feux réseau et serveur, les pare-feux d'applications web, les ports tcp personnalisés, les logiciels/services qui ne journalisent pas les événements de faible gravité (comme notre requête http ordinaire), l'accès du script à l'adresse IP au lieu du nom d'hôte requis, etc…
Consultez toujours les avis du projet open source ou du fournisseur du logiciel pour les détails concernant le problème log4j.
usage: log4j-quick-scan.py [-h] [-V] -e LISTENHOST [-p PORTS] [-l LOG] target
Scan hosts with log4j+jndi doing external connections.
required arguments:
-e LISTENHOST, --listenhost LISTENHOST
Host[:port] where to monitor tcp connections. It could be the same machine where script is to be run.
optional arguments:
-h, --help show this help message and exit
-V, --version Display version and exit.
-p PORTS, --ports PORTS
Optional, comma separated list of ports on tested hosts. Default: 80,8080,443,8443
-l LOG, --log LOG Optional, append output to custom log file. Default: ./log4j-quick-scan.log
positional arguments:
target Scan target: IP network in CIDR format.