Проект Spring4Shell (CVE-2022-22965) Blocker

Обработчик брандмауэра сервера —

Этот проект является proof-of-concept (POC) брандмауэра сервера, предназначенного для обнаружения и блокировки атак, использующих уязвимость CVE-2022-22965, известную как Spring4Shell. Сервер проверяет входящие HTTP-запросы и блокирует любые, соответствующие известным вредоносным шаблонам, связанным с этой уязвимостью.

Обзор

Обработчик брандмауэра сервера — это простой HTTP-сервер на Python, созданный с использованием библиотеки http.server. Он отслеживает входящие HTTP POST-запросы, проверяя определенные заголовки и шаблоны полезной нагрузки, связанные с уязвимостью Spring4Shell. Если запрос соответствует этим шаблонам, он блокируется, и сервер отвечает статусом 403 Forbidden.

Требования

• Python 3.x

Установка и использование

1. Клонируйте репозиторий

   root@kitploit:~

   git clone https://github.com/BlackBird63030/Block-Spring4Shell
   cd Block-Spring4Shell
   

2. Запустите сервер

   root@kitploit:~

   python frs.py
   

   По умолчанию сервер будет работать на localhost на порту 8000.

3. Проверьте правило брандмауэра

   • Для проверки вы можете использовать скрипт tnt.py, который имитирует атаку, выполняя 5 подключений.

Правила блокировки

Этот POC использует два основных правила для обнаружения и блокировки попыток эксплуатации CVE-2022-22965:

1. Правило 1: Блокировка шаблона полезной нагрузки

   • Обнаруживает запросы, содержащие шаблон полезной нагрузки class.module.classLoader.resources.context.parent.pipeline.first, который используется в эксплойтах Spring4Shell для внедрения вредоносного Java-кода.

2. Правило 2: Блокировка подозрительных заголовков

   • Блокирует запросы с определенными заголовками, характерными для атак Spring4Shell:
     • suffix: %>//
     • C1: Runtime
     • C2: <%
     • DNT: 1
     • Content-Type: application/x-www-form-urlencoded

Если срабатывает любое из правил, сервер отвечает статусом 403 Forbidden и возвращает JSON-сообщение: {"error": "Forbidden Access"}

Если ни одно из условий не выполнено, сервер отвечает с 200 OK и: {"message": "Request received"}

Структура кода

• ServerHandler: Основной класс, обрабатывающий HTTP-запросы.
  • block_request(): Отправляет ответ 403 при блокировке запроса.
  • rule_1(): Проверяет полезную нагрузку на шаблоны, связанные с CVE-2022-22965.
  • rule_2(): Проверяет наличие определенных заголовков, известных для Spring4Shell-эксплойтов.
  • do_GET() и do_POST(): Обрабатывают входящие GET и POST запросы, применяя правила брандмауэра.

Пример

Для проверки брандмауэра используйте скрипт tnt.py. Он отправит 5 POST-запросов на скрипт брандмауэра.

python tnt.py

Сервер ответит: {"error": "Forbidden Access"}

Назначение

Этот POC предназначен для образовательных целей и тестирования, чтобы продемонстрировать базовое правило брандмауэра, которое блокирует определенные векторы атак, нацеленные на уязвимость Spring4Shell. Он не является заменой полноценного решения брандмауэра в производственных средах.

Лицензия

MIT License