CVE-2021-44228 Log4Shell PoC

Обзор

Концепт-эксплойт (PoC) для удаленного выполнения кода через уязвимость внедрения JNDI в Apache Log4j 2.14.1. Курс по веб-хакингу — задание 11-й недели.

Окружение

Структура файлов

log4shell-poc/
├── vulnerable-server/     # Vulnerable Spring Boot server
│   ├── pom.xml
│   └── src/main/java/com/example/vulnerable/
│       ├── App.java
│       └── MainController.java
├── exploit/
│   └── Exploit.java       # Malicious class source
└── attacker/
    └── commands.md        # Attack commands reference

Как запустить

Запуск уязвимого сервера

cd vulnerable-server
mvn clean package -DskipTests
/opt/jdk1.8.0_181/bin/java -jar target/log4shell-vuln-0.0.1-SNAPSHOT.jar

Выполнение атаки

Пошаговые команды атаки см. в attacker/commands.md.

Порядок атаки

1. Отправить JNDI-полезную нагрузку через HTTP-заголовок X-Api-Version с помощью curl
2. Log4j анализирует нагрузку и автоматически инициирует JNDI-запрос
3. LDAP-сервер marshalsec отвечает URL-адресом Exploit.class
4. JVM жертвы скачивает и загружает Exploit.class с HTTP-сервера
5. Статический блок выполняется автоматически, подключая reverse shell к слушателю nc
6. Достигнут RCE — произвольное выполнение команд на сервере жертвы

Ключевые технические детали

• Уязвимое место: logger.info() передает пользовательский ввод напрямую в Log4j без очистки
• Корневая причина: Log4j 2.x вычисляет выражения ${...} внутри журналируемых сообщений
• Требование к JDK: требуется JDK 8u181 или ниже (по умолчанию trustURLCodebase=true)
• Исправление: Log4j 2.15.0+ отключает JNDI-запросы по умолчанию

Отказ от ответственности

Данный PoC предназначен только для образовательных целей. Не используйте его против систем без явного разрешения.