Log4Pot

Un honeypot per la vulnerabilità Log4Shell (CVE-2021-44228).

Licenza: GPLv3.0

Caratteristiche

• Ascolta su varie porte per l'exploitation di Log4Shell.
• Rileva l'exploitation nella riga di richiesta e negli header.
• Scarica i payload di exploit in modo ricorsivo.
• Registra su file e su Azure Blob Storage.

Utilizzo

1. Installare Poetry: curl -sSL https://raw.githubusercontent.com/python-poetry/poetry/master/get-poetry.py | python3 -
2. Scaricare questo repository GitHub git clone https://github.com/thomaspatzke/Log4Pot.git
3. Entrare nella directory della copia locale con cd Log4Pot
4. Installare le dipendenze di pycurl (Debian / Ubuntu): apt install libcurl4-openssl-dev libssl-dev python3-dev build-essential
5. Installare le dipendenze Python: poetry install
6. Inserire i parametri in log4pot.conf, vedere poetry run python log4pot.py --help per una panoramica.
7. Eseguire: poetry run python log4pot.py @log4pot.conf

In alternativa, è possibile eseguire log4pot anche senza dipendenze esterne:

$ python log4pot.py @log4pot.conf

Questo eseguirà log4pot senza il supporto per la registrazione su Azure Blob Storage.

Reindirizzamento del traffico / configurazione senza container

Per reindirizzare il traffico verso le porte 80 e 443 a Log4Pot, usare i seguenti comandi iptables:

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 8080

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 8443

Strumento di analisi dei log

Lo script log4pot-loganalyzer.py estrae tutti i payload, li decodifica con il decoder corrente e costruisce una timeline da entrambi. L'utilizzo è il seguente:

python log4pot-loganalyzer.py -o <output directory> <input log files>

Analisi dei log con JQ

Elenca i payload dai tentativi di exploit:

select(.type == "exploit") | .payload

Decodifica tutti i payload codificati in base64 dall'exploit JNDI:

select(.type == "exploit" and (.payload | contains("Base64"))) | .payload | sub(".*/Base64/"; "") | sub ("}$"; "") | @base64d

Estrai tutti gli hash SHA256 dai file scaricati dagli URL:

[ .[] | select(.type == "payload") | .urls | select((. | length) > 0) | to_entries | .[].value | select((. | length) == 64) ] | unique | .[]