CVE-2021-44228 Log4Shell POC

अवलोकन

Apache Log4j 2.14.1 में JNDI इंजेक्शन भेद्यता के माध्यम से रिमोट कोड निष्पादन के लिए प्रूफ ऑफ कॉन्सेप्ट। वेब हैकिंग कोर्स - सप्ताह 11 असाइनमेंट।

पर्यावरण

फ़ाइल संरचना

log4shell-poc/
├── vulnerable-server/     # Vulnerable Spring Boot server
│   ├── pom.xml
│   └── src/main/java/com/example/vulnerable/
│       ├── App.java
│       └── MainController.java
├── exploit/
│   └── Exploit.java       # Malicious class source
└── attacker/
    └── commands.md        # Attack commands reference

चलाने का तरीका

भेद्य सर्वर प्रारंभ करें

cd vulnerable-server
mvn clean package -DskipTests
/opt/jdk1.8.0_181/bin/java -jar target/log4shell-vuln-0.0.1-SNAPSHOT.jar

आक्रमण चलाएँ

चरण-दर-चरण आक्रमण कमांड के लिए attacker/commands.md देखें।

आक्रमण प्रवाह

1. curl का उपयोग करके X-Api-Version HTTP हेडर के माध्यम से JNDI पेलोड भेजें
2. Log4j पेलोड को पार्स करता है और स्वचालित रूप से JNDI लुकअप ट्रिगर करता है
3. marshalsec LDAP सर्वर Exploit.class URL के साथ प्रतिक्रिया देता है
4. पीड़ित JVM HTTP सर्वर से Exploit.class डाउनलोड करके लोड करता है
5. स्टैटिक ब्लॉक स्वचालित रूप से निष्पादित होता है, रिवर्स शेल को nc लिसनर से कनेक्ट करता है
6. RCE प्राप्त हुआ - पीड़ित सर्वर पर मनमाना कमांड निष्पादन

मुख्य तकनीकी विवरण

• भेद्य बिंदु: logger.info() उपयोगकर्ता इनपुट को बिना सैनिटाइज़ेशन के सीधे Log4j को पास करता है
• मूल कारण: Log4j 2.x लॉग संदेशों के अंदर ${...} एक्सप्रेशन का मूल्यांकन करता है
• JDK आवश्यकता: JDK 8u181 या उससे निचला संस्करण आवश्यक (trustURLCodebase=true डिफ़ॉल्ट रूप से)
• पैच: Log4j 2.15.0+ डिफ़ॉल्ट रूप से JNDI लुकअप अक्षम करता है

अस्वीकरण

यह POC केवल शैक्षिक उद्देश्यों के लिए है। स्पष्ट अनुमति के बिना सिस्टम के विरुद्ध उपयोग न करें।