horrors-log4shell

CVE-2021-44228 (log4j) के लिए एक माइक्रो लैब (प्लेग्राउंड?)

• पेलोड को कई टारगेट्स पर निष्पादित करने के लिए उपयोग किया जा सकता है।
• टारगेट-विशिष्ट पेलोड रनटाइम पर उत्पन्न होते हैं।
• समायोज्य कॉन्फ़िगरेशन और बायपास।

स्थापना

Java से संबंधित आवश्यकताएँ

• विकास / चलाने का उदाहरण
  • Gradle
  • Maven
• हाल की log4j से संबंधित कमजोरियों (CVE-2021-44228, CVE-2021-45046) का परीक्षण करने के लिए:
  • JDK 8u121
  • Ysoserial संकलित JAR (https://github.com/frohoff/ysoserial)
• सुनिश्चित करें कि दोनों पक्षों पर संगत JDK हों।

Python आवश्यकताएँ

% pip3 install pyasn1 pyjnius git+https://github.com/tasooshi/horrors

उपयोग

चरण 1: कॉन्फ़िगर करना

attacker_config.py.example कॉन्फ़िगरेशन फ़ाइल को कॉपी करें और समायोजित करें।

चरण 2: कमजोर एप्लिकेशन चलाना

डिफ़ॉल्ट रूप से 8080 पर सुनता है और दो पथ उजागर करता है: / और /endpoint:

$ cd Vulnerable; mvn spring-boot:run

चरण 3: डेटा कलेक्टर सेवा चलाना

यह डेमॉन शोषित मशीनों से आने वाले डेटा को एकत्र करता है और एक JSON फ़ाइल में लॉग करता है:

(.venv) $ ./collector.py

चरण 4: हमला निष्पादित करना:

कई पोर्ट खोलता है जो एकल JNDI हैंडलर (class JNDI(services.Service)) को प्रॉक्सी किए जाते हैं। स्वचालित रूप से अनुरोध भेजना शुरू करता है:

(.venv) $ ./attacker.py

अनुरोधों को फिर से भेजने के लिए http://127.0.0.1:8889/send-requests पर जाएँ।

जाँच करें:

तो, अंत में आपके पास निम्नलिखित सेवाएँ चल रही होनी चाहिए:

• collector.py पोर्ट 8888 पर
• attacker.py स्थिर सामग्री और नियंत्रण के लिए पोर्ट 8889 पर
• attacker.py पोर्ट 1389 और 8443 पर
• Vulnerable.java पोर्ट 8080 पर