Log4Pot

用于Log4Shell漏洞（CVE-2021-44228）的蜜罐。

许可证：GPLv3.0

功能

• 监听多个端口，捕获Log4Shell漏洞利用。
• 检测请求行和头部中的漏洞利用行为。
• 递归下载漏洞利用载荷。
• 日志记录到文件及Azure Blob存储。

使用方法

1. 安装 Poetry：curl -sSL https://raw.githubusercontent.com/python-poetry/poetry/master/get-poetry.py | python3 -
2. 克隆此GitHub仓库：git clone https://github.com/thomaspatzke/Log4Pot.git
3. 进入本地副本目录：cd Log4Pot
4. 安装 pycurl 依赖（Debian / Ubuntu）：apt install libcurl4-openssl-dev libssl-dev python3-dev build-essential
5. 安装 Python 依赖：poetry install
6. 将参数写入 log4pot.conf，详见 poetry run python log4pot.py --help 概述。
7. 运行：poetry run python log4pot.py @log4pot.conf

或者，你也可以在不依赖外部库的情况下运行 log4pot：

$ python log4pot.py @log4pot.conf

这将运行 log4pot，但不支持日志记录到 Azure Blob 存储。

重定向流量 / 非容器设置

要将发往端口80和443的流量重定向到Log4Pot，请使用以下 iptables 命令：

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 8080

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 8443

日志分析工具

脚本 log4pot-loganalyzer.py 提取所有载荷，使用当前解码器进行解码，并构建两者的时间线。使用方式如下：

python log4pot-loganalyzer.py -o <输出目录> <输入日志文件>

使用 JQ 分析日志

列出漏洞利用尝试中的载荷：

select(.type == "exploit") | .payload

解码JNDI漏洞利用中所有Base64编码的载荷：

select(.type == "exploit" and (.payload | contains("Base64"))) | .payload | sub(".*/Base64/"; "") | sub ("}$"; "") | @base64d

提取从URL下载的文件的所有SHA256哈希值：

[ .[] | select(.type == "payload") | .urls | select((. | length) > 0) | to_entries | .[].value | select((. | length) == 64) ] | unique | .[]