Log4Shell हनीपॉट

यह डेमो एप्लिकेशन CVE-2021-44228 के प्रति संवेदनशील है, जिसे Log4Shell के नाम से भी जाना जाता है। उदाहरण के लिए, इसका उपयोग किसी डिटेक्शन या रेमेडिएशन स्क्रिप्ट को मान्य करने के लिए किया जा सकता है।

कैसे लॉन्च करें

एप्लिकेशन बनाएं:

mvn clean package

या, वैकल्पिक रूप से, पूर्व-निर्मित JAR डाउनलोड करें।

एप्लिकेशन चलाएं (यदि आपने इसे स्थानीय रूप से बनाया है तो target उपनिर्देशिका में):

java -Dlog4shell.all -jar log4shell-honeypot-capsule.jar

एप्लिकेशन डिफ़ॉल्ट रूप से संवेदनशील नहीं है। आपको कमजोरियों को सक्षम करने के लिए log4shell.all सिस्टम प्रॉपर्टी सेट करनी होगी (या आप कमजोरी-विशिष्ट विकल्पों का उपयोग कर सकते हैं, नीचे देखें)।

कमजोरी विकल्प

• log4shell.userAgent सिस्टम प्रॉपर्टी सेट करें ताकि User-Agent HTTP हेडर लॉग हो सके।
• log4shell.authorization सिस्टम प्रॉपर्टी सेट करें ताकि Authorization HTTP हेडर लॉग हो सके।
• log4shell.basicAuth सिस्टम प्रॉपर्टी सेट करें ताकि बेसिक ऑथेंटिकेशन से डिकोड किया गया उपयोगकर्ता/पासवर्ड जोड़ा लॉग हो सके।
• log4shell.urlPath सिस्टम प्रॉपर्टी सेट करें ताकि URL पथ लॉग हो सके।
• log4shell.urlQuery सिस्टम प्रॉपर्टी सेट करें ताकि URL क्वेरी स्ट्रिंग लॉग हो सके।
• log4shell.all सिस्टम प्रॉपर्टी सेट करें ताकि उपरोक्त सभी लॉग हो सकें।

एक खाली प्रॉपर्टी मान पर्याप्त है।

सुरक्षा विकल्प

एप्लिकेशन पर बेसिक ऑथेंटिकेशन सक्षम करने के लिए, basicAuth कॉन्फ़िगरेशन प्रोफ़ाइल सक्रिय करें:

java -Dseedstack.profiles=basicAuth -Dlog4shell.all -jar target/log4shell-honeypot-capsule.jar

• उपयोगकर्ता demo है
• पासवर्ड भी demo है

जब बेसिक ऑथेंटिकेशन सक्षम होता है, तो एप्लिकेशन उपयोगकर्ता/पासवर्ड इंजेक्शन के प्रति संवेदनशील नहीं हो सकता।

कैसे उपयोग करें

उपरोक्त विकल्पों के अनुसार किसी भी पथ पर दुर्भावनापूर्ण पेलोड के साथ GET या POST अनुरोध करें:

User-agent हेडर के साथ उदाहरण:

curl http://localhost:8080 -A "<malicious-user-agent>"

एप्लिकेशन /test पर 302 जारी करेगा जिसमें कमजोरी मौजूद है।