Skip to content
KitploitKITPLOIT
ツールブログ
提出
ツールブログ
提出

ハッキング、侵入テスト、サイバーセキュリティツールをあなたのセキュリティアーセナルに！

Kitploitはハッキング、サイバーセキュリティ、ペネトレーションテストのツールディレクトリです。最新のプロジェクトアップデートを見つけて、脆弱性の発見、システム分析、テストの自動化、セキュリティの強化を行いましょう。

··フィード·お問い合わせ·プライバシー·© 2026 Kitploit

ツールディレクトリ

カテゴリ

すべてのカテゴリを見る
Loading categories
log4j-test — CVE-2021-44228の実証と、考えられる戦略的な修正方法 | Kitploit
ツール/GitHubGitHub/strawhatasif/log4j-test
脆弱性分析エクスプロイトウェブアプリケーション悪用サプライチェーンセキュリティ学習と教育
GitHubstrawhatasif/log4j-test

log4j-test

CVE-2021-44228の実証と、考えられる戦略的な修正方法

リポジトリを見る
34年前未レビュー

人気

すべて見る →

コミュニティで最も使われているツールを見つけましょう。

すべてのツールを探索

ツールコレクションを閲覧

すべてのツールを見る →
共有

CVE-2021-44228 の動作を示す簡単な例

説明

  • この問題を再現するため、SpringBoot からログの推移的依存関係を削除しています。
  • 代わりに、spring-boot-starter-log4j2 を取り込んでいます。
  • spring-boot-starter-log4j2 は log4j-core を取り込み、これにはリモートコード実行（RCE）の脆弱性があります。

API の実行

  • ターミナルでコマンド ./gradlew clean build bootRun を実行する か
  • Log4TestApplication.java で右クリックして run をクリックします。

JNDI 値を渡すとどうなるか？

  • 存在しないサイトを解決しようとするため、ConnectException が発生します。
  • しかし、これが実際の悪意のあるサーバーだった場合の可能性を想像してみてください！

    • img.png

    可能な修正？

    • MAVEN を使用している場合 - https://github.com/strawhatasif/log4j-test/tree/maven-variant
    • こちらにあります：https://github.com/strawhatasif/log4j-test/tree/strategic-fix。

    参考文献：

    • https://www.lunasec.io/docs/blog/log4j-zero-day/
    • https://www.bleepingcomputer.com/news/security/new-zero-day-exploit-for-log4j-java-library-is-an-enterprise-nightmare/
    • https://www.fastly.com/blog/digging-deeper-into-log4shell-0day-rce-exploit-found-in-log4j
    ツールをダウンロード