log4jail 🛡️

Быстрый обратный прокси-файрвол с поддержкой TLS (HTTPS) и swarm для предотвращения атак Log4J (Log4Shell, он же CVE-2021-44228).

📖 Содержание

• Введение
• Установка
• Быстрый старт
• Доказательство концепции
• Для пентестеров

ℹ️ Введение

log4jail — это быстрое и грязное решение для блокировки попыток эксплуатации Log4Shell, выступающее в роли обратного прокси, которое сканирует полное тело запроса, включая все заголовки и параметры запроса, на наличие полезных нагрузок log4shell.

💡 Вы можете запускать несколько экземпляров одновременно, сопоставляя их по порту и цели в файле конфигурации.

Брандмауэр следует стратегиям смягчения последствий от Google Cloud.

Установка

Загрузите бинарный файл для вашей ОС из Releases ИЛИ установите с помощью cargo:

$ cargo install --git https://github.com/mufeedvh/log4jail.git

Установить Rust/Cargo

Сборка из исходников

Необходимые компоненты:

• Git
• Rust
• Cargo (автоматически устанавливается при установке Rust)
• C-линкер (только для Linux, обычно предустановлен)

$ git clone https://github.com/mufeedvh/log4jail.git
$ cd log4jail/
$ cargo build --release

Первая команда клонирует этот репозиторий на вашу локальную машину, а последние две команды переходят в директорию и собирают исходный код в режиме release.

Быстрый старт

Просто запустите команду, и в той же рабочей директории появится стандартный файл конфигурации с именем log4jail.json.

$ log4jail

Файл конфигурации выглядит так:

{
  "host": "127.0.0.1",
  "enable_https": false,
  "tls_cert_path": "cert.pem",
  "tls_key_path": "key.rsa",
  "reject_response_status": 403,
  "reject_response_body": "This request has been blocked.",
  "proxy_mapping": {
    "1337": "http://127.0.0.1:8080/",
    "6969": "http://127.0.0.1:9000/"
  }
}

Настройте значения под ваше окружение и снова запустите команду, чтобы поднять прокси!

Доказательство концепции

log4jail блокирует все векторы атак из log4j-scan с включенным режимом обхода WAF:

$ python3 log4j-scan.py -u http://127.0.0.1:1337/ --run-all-tests --waf-bypass

Для пентестеров

Если вы нашли какие-либо работающие полезные нагрузки Log4Shell, которые могут обойти этот брандмауэр, пожалуйста, откройте issue.

Просто запустите log4jail на любом порту и включите полезную нагрузку в HTTP-запрос для фаззинг-тестирования.