Log4Pot

Un honeypot pour la vulnérabilité Log4Shell (CVE-2021-44228).

Licence : GPLv3.0

Fonctionnalités

• Écoute sur divers ports pour l'exploitation de Log4Shell.
• Détection de l'exploitation dans la ligne de requête et les en-têtes.
• Téléchargement récursif des charges utiles d'exploitation.
• Journalisation dans un fichier et dans Azure Blob Storage.

Utilisation

1. Installer Poetry : curl -sSL https://raw.githubusercontent.com/python-poetry/poetry/master/get-poetry.py | python3 -
2. Cloner ce dépôt GitHub git clone https://github.com/thomaspatzke/Log4Pot.git
3. Se placer dans le répertoire de la copie locale avec cd Log4Pot
4. Installer les dépendances pycurl (Debian / Ubuntu) : apt install libcurl4-openssl-dev libssl-dev python3-dev build-essential
5. Installer les dépendances Python : poetry install
6. Mettre les paramètres dans log4pot.conf, voir poetry run python log4pot.py --help pour un aperçu.
7. Exécuter : poetry run python log4pot.py @log4pot.conf

Alternativement, vous pouvez également exécuter log4pot sans dépendances externes :

$ python log4pot.py @log4pot.conf

Cela exécutera log4pot sans prise en charge de la journalisation vers Azure Blob Storage.

Redirection du trafic / configuration sans conteneur

Pour rediriger le trafic vers les ports 80 et 443 vers Log4Pot, utilisez les commandes iptables suivantes :

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 8080

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 8443

Outil d'analyse des journaux

Le script log4pot-loganalyzer.py extrait toutes les charges utiles, les décode avec le décodeur actuel et construit une chronologie à partir des deux. Utilisation :

python log4pot-loganalyzer.py -o <output directory> <input log files>

Analyse des journaux avec JQ

Listez les charges utiles issues des tentatives d'exploitation :

select(.type == "exploit") | .payload

Décodez toutes les charges utiles encodées en base64 de l'exploit JNDI :

select(.type == "exploit" and (.payload | contains("Base64"))) | .payload | sub(".*/Base64/"; "") | sub ("}$"; "") | @base64d

Extrayez tous les hachages SHA256 des fichiers téléchargés à partir d'URL :

[ .[] | select(.type == "payload") | .urls | select((. | length) > 0) | to_entries | .[].value | select((. | length) == 64) ] | unique | .[]