Laboratorio di Sfruttamento Log4Shell (CVE-2021-44228)

Ho riprodotto la vulnerabilità Log4Shell end-to-end in un ambiente di laboratorio isolato, dallo sfruttamento iniziale fino a un report di remediation completo. Realizzato come lavoro accademico di MSc in coppia con Aditya Chaudhari, scritto insieme come report congiunto.

Cosa ho fatto

• Ho configurato un'applicazione web Tomcat vulnerabile basata su Log4j in un container Docker
• Ho scritto uno script Python per generare il payload di sfruttamento, quindi ho avviato un server LDAP malevolo e un server HTTP per servirlo
• Ho attivato la catena di iniezione JNDI inviando una stringa di lookup appositamente costruita, poi ho catturato la reverse shell risultante con netcat e confermato l'accesso come root
• Ho ricostruito lo stesso container con un Dockerfile indurito (lookup JNDI disabilitati tramite JAVA_OPTS) e ho confermato che lo sfruttamento non funzionava più
• Ho scritto un report di vulnerabilità strutturato che copre la causa principale, la cronologia delle patch e le mitigazioni a livello di rete, il tipo di documento che consegneresti davvero a un cliente o a un team di sviluppo

Perché l'ho fatto in questo modo

Volevo comprendere l'intera catena di sfruttamento di persona piuttosto che limitarmi a leggerne. Log4Shell è una buona vulnerabilità da cui imparare perché tocca contemporaneamente il class loading di Java, LDAP e JNDI, e la storia delle patch successive ti insegna come appare realmente la remediation oltre la semplice applicazione di un aggiornamento.