プロジェクト Spring4Shell (CVE-2022-22965 ) ブロッカー

ファイアウォールサーバーハンドラ -

このプロジェクトは、一般にSpring4Shellとして知られるCVE-2022-22965脆弱性を悪用する攻撃を検出・ブロックするための概念実証（POC）ファイアウォールサーバーです。サーバーは受信するHTTPリクエストを検査し、この脆弱性に関連する既知の悪意あるパターンに一致するリクエストをブロックします。

概要

ファイアウォールサーバーハンドラは、http.serverライブラリを使用して構築されたシンプルなPythonベースのHTTPサーバーです。受信するHTTP POSTリクエストを監視し、Spring4Shell脆弱性に関連する特定のヘッダーやペイロードパターンを探します。リクエストがこれらのパターンに一致するとブロックされ、サーバーは403 Forbiddenステータスで応答します。

必要条件

Python 3.x

セットアップと使用方法

リポジトリをクローン

git clone https://github.com/BlackBird63030/Block-Spring4Shell
cd Block-Spring4Shell

サーバーを実行
```
python frs.py
```
デフォルトでは、サーバーはlocalhostのポート8000で実行されます。
ファイアウォールルールをテスト
- テストするには、5回の接続で攻撃をシミュレートするtnt.pyスクリプトを使用できます。

ブロックルール

このPOCは、CVE-2022-22965の悪用試行を検出・ブロックするために2つの主要なルールを使用します。

ルール1: ペイロードパターンのブロック
- リクエストにペイロードパターン class.module.classLoader.resources.context.parent.pipeline.first が含まれていることを検出します。このパターンはSpring4Shellエクスプロイトで悪意のあるJavaコードを注入するために使用されます。
ルール2: 不審なヘッダーのブロック
- Spring4Shell攻撃ペイロードに特徴的な特定のヘッダーを持つリクエストをブロックします:
  - suffix: %>//
  - C1: Runtime
  - C2: <%
  - DNT: 1
  - Content-Type: application/x-www-form-urlencoded

いずれかのルールに一致した場合、サーバーは403 Forbiddenステータスで応答し、次のJSONメッセージを返します: {"error": "Forbidden Access"}

条件が満たされない場合、サーバーは200 OKで応答し、次のように返します: {"message": "Request received"}

コード構造

ServerHandler: HTTPリクエストを処理するメインクラス。
- block_request(): リクエストがブロックされたときに403応答を送信します。
- rule_1(): CVE-2022-22965に関連するパターンについてペイロードをチェックします。
- rule_2(): Spring4Shellエクスプロイトの一部として知られる特定のヘッダーをチェックします。
- do_GET() および do_POST(): 受信するGETおよびPOSTリクエストを処理し、ファイアウォールルールを適用します。

例

ファイアウォールをテストするには、tnt.pyスクリプトを使用します。このスクリプトはファイアウォールスクリプトに5回のPOSTリクエストを送信します。

python tnt.py

サーバーは次のように応答します: {"error": "Forbidden Access"}

目的

このPOCは、Spring4Shell脆弱性を標的とした特定の攻撃ベクトルをブロックする基本的なファイアウォールルールを実証するための教育およびテスト目的で意図されています。本番環境における包括的なファイアウォールソリューションの代わりにはなりません。

ライセンス

MIT License

Block-Spring4Shell

人気