Log4Shell (CVE-2021-44228) — शोध रिपोर्ट

Log4Shell पर एक स्व-निहित तकनीकी रिपोर्ट — यह दिसंबर 2021 में उजागर हुई Apache Log4j 2 की एक गंभीर रिमोट कोड निष्पादन (Remote Code Execution) भेद्यता है। इसमें मूल कारण विश्लेषण, पूर्ण आक्रमण श्रृंखला, पहचान/शमन मार्गदर्शन, और एक पृथक स्थानीय प्रयोगशाला में टर्मिनल एवं लॉग साक्ष्य के साथ की गई एंड-टू-एंड एक्सप्लॉइट प्रतिकृति शामिल है।

लाइव रिपोर्ट देखें →

---

अंदर क्या है

• भेद्यता अवलोकन — Log4Shell क्या है और यह विनाशकारी क्यों थी
• तकनीकी विश्लेषण — JndiLookup.java में भेद्य कोड पथ और चार-चरणीय आक्रमण प्रवाह
• प्रूफ ऑफ कॉन्सेप्ट — पूरा वॉकथ्रू: भेद्य Docker लक्ष्य, दुर्भावनापूर्ण LDAP रीडायरेक्टर (marshalsec), पेलोड क्लास और ट्रिगर
• प्रयोगशाला सत्यापन — एक्सप्लॉइट श्रृंखला की वास्तविक स्थानीय प्रतिकृति के स्क्रीनशॉट (लक्ष्य सेटअप, LDAP/HTTP सर्वर लॉग और पुष्टि किया गया कोड निष्पादन)
• खुलासा समयरेखा — खोज से पूर्ण पैच तक की प्रमुख तिथियाँ
• पहचान और शमन — लॉग-आधारित पहचान पैटर्न और आधिकारिक JVM/संस्करण-आधारित सुधार

तकनीक / स्रोत

• लक्ष्य ऐप: christophetd/log4shell-vulnerable-app (Log4j 2.14.1)
• JNDI/LDAP रीडायरेक्टर: mbechler/marshalsec
• सभी सामग्री स्टैटिक HTML/CSS है — कोई बिल्ड चरण नहीं, कोई निर्भरता नहीं

स्थानीय रूप से चलाना

फ़ाइल को बस एक ब्राउज़र में खोलें — कोई सर्वर आवश्यक नहीं:

git clone https://github.com/sanasimran1403-jpg/log4shell-report-with-evidence.git
cd log4shell-report-with-evidence
open index.html   # or double-click it

अस्वीकरण

यह रिपोर्ट और इसके साथ की प्रयोगशाला प्रतिकृति केवल शैक्षिक और अधिकृत सुरक्षा अनुसंधान उद्देश्यों के लिए हैं। दिखाया गया सभी शोषण लेखक द्वारा नियंत्रित एक पृथक स्थानीय Docker वातावरण में जानबूझकर भेद्य बनाए गए एप्लिकेशन के विरुद्ध किया गया था। स्पष्ट लिखित प्राधिकरण के बिना सिस्टम का परीक्षण करना CFAA, UK Computer Misuse Act और अन्यत्र समकक्ष कानूनों के तहत अवैध है।

---

लेखक: Sana Simran — S&S Independent Security Research, 2026