Log4Pot

Хоніпот для уязвимости Log4Shell (CVE-2021-44228).

License: GPLv3.0

Features

• Прослушивает различные порты для обнаружения эксплуатации Log4Shell.
• Обнаруживает эксплуатацию в строке запроса и заголовках.
• Рекурсивно загружает полезные нагрузки эксплойтов.
• Записывает журналы в файл и Azure blob storage.

Usage

1. Install Poetry: curl -sSL https://raw.githubusercontent.com/python-poetry/poetry/master/get-poetry.py | python3 -
2. Склонируйте этот репозиторий GitHub git clone https://github.com/thomaspatzke/Log4Pot.git
3. Перейдите в каталог локальной копии с помощью cd Log4Pot
4. Установите зависимости pycurl (Debian / Ubuntu): apt install libcurl4-openssl-dev libssl-dev python3-dev build-essential
5. Установите зависимости Python: poetry install
6. Внесите параметры в log4pot.conf, см. poetry run python log4pot.py --help для обзора.
7. Запустите: poetry run python log4pot.py @log4pot.conf

Кроме того, вы можете запустить log4pot без внешних зависимостей:

$ python log4pot.py @log4pot.conf

В этом случае log4pot будет работать без поддержки ведения журнала в Azure blob storage.

Перенаправление трафика / настройка без контейнеров

Чтобы перенаправлять трафик на порты 80 и 443 на Log4Pot, используйте следующие команды iptables:

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 8080

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 8443

Инструмент анализа журналов

Скрипт log4pot-loganalyzer.py извлекает все полезные нагрузки, декодирует их текущим декодером и строит на их основе временную шкалу. Использование:

python log4pot-loganalyzer.py -o <output directory> <input log files>

Анализ журналов с помощью JQ

Перечислить полезные нагрузки из попыток эксплуатации:

select(.type == "exploit") | .payload

Декодировать все base64-закодированные полезные нагрузки из JNDI-эксплойта:

select(.type == "exploit" and (.payload | contains("Base64"))) | .payload | sub(".*/Base64/"; "") | sub ("}$"; "") | @base64d

Извлечь все хэши SHA256 из файлов, загруженных по URL:

[ .[] | select(.type == "payload") | .urls | select((. | length) > 0) | to_entries | .[].value | select((. | length) == 64) ] | unique | .[]