Verificador-Log4j

Este repositório contém scripts que podem ajudar a identificar arquivos .jar que podem ser vulneráveis ao CVE-2021-44228, também conhecido como Log4Shell.

Verificação de Hash do Log4Shell

Este script irá encontrar arquivos .jar no sistema de arquivos a partir de um caminho específico, calcular um hash SHA-256 para cada arquivo .jar encontrado - independentemente do nome do arquivo - e comparar este valor com uma lista fornecida pelo usuário de hashes SHA-256.

Arquivos de hash conhecidos calculados contra versões oficiais do Log4j estão disponíveis em https://github.com/mubix/CVE-2021-44228-Log4Shell-Hashes, que é a fonte para o arquivo de hash incluído neste repositório.

NOTA: se o arquivo .jar do Log4j em uso no seu sistema foi modificado porque - por exemplo - foi compilado a partir do código-fonte, porque um fornecedor aplicou personalizações de qualquer tipo, ou porque classes do Log4j foram incluídas dentro de um arquivo .jar maior, seu hash SHA-256 será diferente da versão oficial correspondente do Log4j e o script não conseguirá identificá-lo.

Uso:

Bash (execute com sudo para evitar problemas de permissão):

log4shell_hash_check.sh <path> <sha256file>

E.g.: sudo ./log4shell_hash_check.sh / sha256sum.txt
      sudo ./log4shell_hash_check.sh ./ sha256sum.txt
      sudo ./log4shell_hash_check.sh /opt/tomcat/ sha256sum.txt

log4j-checker

Mais Populares

PowerShell (execute de um shell de administrador para evitar problemas de permissão):

Exemplo de saída:

Localizador JndiLookup do Log4Shell

Uso:

Bash (execute com sudo para evitar problemas de permissão):

PowerShell (execute de um shell de administrador para evitar problemas de permissão):

Exemplo de saída: