Skip to content
KitploitKITPLOIT
OutilsBlog
Soumettre
OutilsBlog
Soumettre

Outils de Hacking, PenTest et Cybersécurité pour votre Arsenal de Sécurité !

Kitploit est un répertoire d'outils de hacking, de cybersécurité et de pentesting. Découvrez les dernières mises à jour des projets pour trouver des vulnérabilités, analyser des systèmes, automatiser les tests et renforcer votre sécurité.

··Flux·Contact·Confidentialité·© 2026 Kitploit

Répertoire d'outils

Catégories

Voir toutes les catégories
Loading categories
log4j-test — Démonstration de CVE-2021-44228 avec un correctif stratégique possible. | Kitploit
Outils/GitHubGitHub/strawhatasif/log4j-test
Analyse des VulnérabilitésExploitationExploitation d'Applications WebSécurité de la Chaîne LogistiqueApprentissage et Éducation
GitHubstrawhatasif/log4j-test

log4j-test

Démonstration de CVE-2021-44228 avec un correctif stratégique possible.

Voir le dépôt
il y a 4 ansPas encore vérifié

Populaires

Voir tout →

Découvrez les outils les plus utilisés par notre communauté.

Explorer tous les outils

Parcourez notre collection d'outils

Voir tous les outils →
Partager

Exemple simple montrant CVE-2021-44228 en action

Explication

  • Pour reproduire ce problème, je supprime la dépendance transitive de journalisation de SpringBoot.
  • À la place, j'ajoute spring-boot-starter-log4j2
  • spring-boot-starter-log4j2 introduit log4j-core qui contient la vulnérabilité d'exécution de code à distance (RCE).

Exécution de l'API

  • Exécutez la commande ./gradlew clean build bootRun dans un terminal OU
  • Faites un clic droit et cliquez sur run dans Log4TestApplication.java.

Que se passe-t-il lorsque vous transmettez la valeur JNDI ?

  • Comme nous résolvons vers un site inexistant, nous obtenons une ConnectException.
  • Mais imaginez les possibilités s'il s'agissait d'un véritable serveur malveillant !

img.png

Correctif possible ?

  • SI VOUS UTILISEZ MAVEN - https://github.com/strawhatasif/log4j-test/tree/maven-variant
  • Situé dans https://github.com/strawhatasif/log4j-test/tree/strategic-fix.

Références :

  • https://www.lunasec.io/docs/blog/log4j-zero-day/
  • https://www.bleepingcomputer.com/news/security/new-zero-day-exploit-for-log4j-java-library-is-an-enterprise-nightmare/
  • https://www.fastly.com/blog/digging-deeper-into-log4shell-0day-rce-exploit-found-in-log4j
Télécharger l’outil