CVE-2021-44228 Log4Shell POC

Panoramica

Proof of Concept per l'esecuzione remota di codice tramite la vulnerabilità di iniezione JNDI in Apache Log4j 2.14.1. Web Hacking Course - Assegnazione Settimana 11.

Ambiente

Struttura dei File

log4shell-poc/
├── vulnerable-server/     # Server Spring Boot vulnerabile
│   ├── pom.xml
│   └── src/main/java/com/example/vulnerable/
│       ├── App.java
│       └── MainController.java
├── exploit/
│   └── Exploit.java       # Codice sorgente della classe dannosa
└── attacker/
    └── commands.md        # Riferimento ai comandi di attacco

Come eseguire

Avvia il Server Vulnerabile

cd vulnerable-server
mvn clean package -DskipTests
/opt/jdk1.8.0_181/bin/java -jar target/log4shell-vuln-0.0.1-SNAPSHOT.jar

Esegui l'Attacco

Consulta attacker/commands.md per i comandi di attacco passo-passo.

Flusso dell'Attacco

1. Invia il payload JNDI tramite l'header HTTP X-Api-Version usando curl
2. Log4j analizza il payload e attiva automaticamente la lookup JNDI
3. Il server LDAP marshalsec risponde con l'URL di Exploit.class
4. La JVM vittima scarica e carica Exploit.class dal server HTTP
5. Il blocco statico viene eseguito automaticamente, creando una reverse shell verso il listener nc
6. RCE ottenuta - esecuzione arbitraria di comandi sul server vittima

Dettagli Tecnici Chiave

• Punto vulnerabile: logger.info() passa l'input utente direttamente a Log4j senza sanitizzazione
• Causa principale: Log4j 2.x valuta le espressioni ${...} all'interno dei messaggi di log
• Requisito JDK: necessario JDK 8u181 o inferiore (trustURLCodebase=true di default)
• Patch: Log4j 2.15.0+ disabilita la lookup JNDI di default

Disclaimer

Questo POC ha solo scopo didattico. NON utilizzarlo contro sistemi senza autorizzazione esplicita.