CVE-2021-44228 Log4Shell POC

개요

Apache Log4j 2.14.1의 JNDI 인젝션 취약점을 통한 원격 코드 실행 개념 증명(PoC)입니다. 웹 해킹 강좌 - 11주차 과제.

환경

파일 구조

log4shell-poc/
├── vulnerable-server/     # Vulnerable Spring Boot server
│   ├── pom.xml
│   └── src/main/java/com/example/vulnerable/
│       ├── App.java
│       └── MainController.java
├── exploit/
│   └── Exploit.java       # Malicious class source
└── attacker/
    └── commands.md        # Attack commands reference

실행 방법

취약 서버 시작

cd vulnerable-server
mvn clean package -DskipTests
/opt/jdk1.8.0_181/bin/java -jar target/log4shell-vuln-0.0.1-SNAPSHOT.jar

공격 실행

단계별 공격 명령은 attacker/commands.md를 참조하세요.

공격 흐름

1. curl을 사용하여 X-Api-Version HTTP 헤더를 통해 JNDI 페이로드를 전송합니다.
2. Log4j가 페이로드를 구문 분석하고 자동으로 JNDI 조회를 트리거합니다.
3. marshalsec LDAP 서버가 Exploit.class URL로 응답합니다.
4. 피해자 JVM이 HTTP 서버에서 Exploit.class를 다운로드하고 로드합니다.
5. 정적 블록이 자동으로 실행되어 nc 리스너에 리버스 셸을 연결합니다.
6. RCE 달성 - 피해자 서버에서 임의 명령 실행

주요 기술 세부 사항

• 취약점 지점: logger.info()가 사용자 입력을 검증 없이 Log4j에 직접 전달합니다.
• 근본 원인: Log4j 2.x는 로그 메시지 내의 ${...} 표현식을 평가합니다.
• JDK 요구 사항: JDK 8u181 이하 필요(기본적으로 trustURLCodebase=true)
• 패치: Log4j 2.15.0+는 기본적으로 JNDI 조회를 비활성화합니다.

면책 조항

이 POC는 교육 목적으로만 제공됩니다. 명시적 허가 없이 시스템에 사용하지 마십시오.