Log4j2 भेद्यता स्थानीय स्कैनर (CVE-2021-45046)

Log4j भेद्यता स्थानीय पहचान स्क्रिप्ट, होस्ट पर सभी java प्रक्रियाओं को स्कैन करती है, जाँचती है कि क्या भेद्य log4j-core jar फ़ाइल शामिल है और क्या दूरस्थ कोड निष्पादन हमले (CVE-2021-45046) का जोखिम है। स्कैन रिपोर्ट निर्दिष्ट सर्वर पर अपलोड करती है।

अपने होस्ट पर सभी java प्रक्रियाओं को स्कैन करें ताकि यह जाँचा जा सके कि क्या यह log4j2 दूरस्थ कोड निष्पादन (CVE-2021-45046) से प्रभावित है, फिर रिपोर्ट को अपने api सर्वर पर अपलोड करें।

python2.7 / 2.6 / 3.x के तहत काम करता है, किसी अतिरिक्त लाइब्रेरी की आवश्यकता नहीं है।

परिवर्तन लॉग

• 2021-12-22 log4j-core/pom.properties संस्करण जाँच जोड़ी गई

स्कैन लॉजिक

1. होस्ट पर चल रही java प्रक्रियाओं को खोजें
2. java प्रक्रियाओं द्वारा खोली गई jar फ़ाइलों को खोजें
3. log4j-core-* jar फ़ाइलें खोजें
4. अन्य jar फ़ाइलों को पुनरावर्ती रूप से अनज़िप करें, और log4j-core-* jar फ़ाइलें खोजें
5. log4j-core jar में, JndiLookup.class खोजें
6. JndiLookup.class मिलने के बाद, इसके संस्करण, jvm पैरामीटर, OS पर्यावरण चर, docker कंटेनर प्रक्रिया होने या न होने तथा k8s प्रक्रिया होने या न होने के आधार पर बताएं कि भेद्यता मौजूद है या नहीं, और अपग्रेड सुझाव दें
7. स्कैन परिणाम निर्दिष्ट सर्वर पर अपलोड करें

यह कैसे काम करता है

• होस्ट पर सभी java प्रक्रियाएं खोजें
• java प्रक्रिया द्वारा खोली गई सभी jar फ़ाइलें खोजें
• log4j-core-*.jar खोजें
• अन्य jar फ़ाइलों को पुनरावर्ती रूप से अनज़िप करें, log4j-core-*.jar खोजें
• log4j-core-*.jar में JndiLookup.class खोजें
• जब JndiLookup.class मिल जाए, तो इसके संस्करण, jvm args, OS env args, docker कंटेनर होने या न होने तथा k8s होने या न होने के आधार पर कुछ सुझाव दें
• पूरी रिपोर्ट अपने api सर्वर पर अपलोड करें

स्थिरता तंत्र

• पुनरावर्तन: jar फ़ाइलों को पुनरावर्ती रूप से अनज़िप करें, अधिकतम 5 स्तरों तक
• मेमोरी: हर अनज़िप पर अपनी मेमोरी खपत की जाँच करें, अधिकतम 300MB। इससे अधिक होने पर स्कैन छोड़ दें, और आंशिक परिणाम तथा मेमोरी त्रुटि रिपोर्ट करें
• नेटवर्क: स्कैन समाप्त होने के बाद, 0~10 सेकंड के लिए यादृच्छिक रूप से sleep करें; मान लें 10,000 होस्ट हैं, तो प्रति सेकंड रिपोर्ट करने वाले सर्वर केवल लगभग 1000 होंगे

बैच स्कैनिंग

इसे Agent में एकीकृत किया जा सकता है, या स्कैन स्क्रिप्ट को एक बार निष्पादित करने के लिए वितरित किया जा सकता है। आप OPS मशीन पर लॉगिन करके एक क्लिक में पूरे नेटवर्क को स्कैन भी कर सकते हैं।

आप स्क्रिप्ट को अपने agent के मॉड्यूल के रूप में उपयोग कर सकते हैं, या इसे वितरित करके केवल एक बार चला सकते हैं।

जिनके पास उपयोग में आसान agent नहीं है, वे अपने OPS सर्वर पर नीचे दिया गया कमांड चला सकते हैं।

cat hosts.txt|xargs -P 5 -I{} sh -c 'ssh root@{} -oStrictHostKeyChecking=no -oUserKnownHostsFile=/dev/null "wget http://your_site/to_download/log4j2_vul_scanner.py -O /tmp/log4j2_vul_scanner.py -q && python /tmp/log4j2_vul_scanner.py && /usr/bin/rm /tmp/log4j2_vul_scanner.py" > ./logs.txt||exit 0'