CVE-2021-44228 又名 LOG4J

这是 Wortell 的一个公开仓库，包含与 Log4j 相关漏洞有关的信息、链接、文件及其他内容。

由于 log4j 2.17.0 存在漏洞，现在建议升级到 2.17.1 版本。

已知 CVE

---

1. 扫描

以下是一些可用于查找使用 Log4j 并可能被滥用的应用程序的选项：

• BURP Pro 插件： https://gist.github.com/kugg/0d08b6548db249eaffaca1799e0d01d6
• 文件扫描器（显然使用 Powershell，适用于 Windows）： https://gist.github.com/Skons/0b9bbfbbf37d2707ccf83f3d549a6588
• 文件扫描器（显然使用 Go，支持所有平台） https://github.com/dtact/divd-2021-00038--log4j-scanner （如果发现 JNDI，还会将其禁用！）
• 易受攻击的测试应用程序： https://github.com/kugg/log4shellverify
• Web/URL 扫描器： https://github.com/zerobs-rvn/hrafna
• Web/URL 扫描器： https://github.com/fullhunt/log4j-scan
• Shodan： https://www.shodan.io/search?query=has_vuln%3ACVE2021-44228
• Tenable 插件： https://www.tenable.com/plugins/search?q=cves%3A%28%22CVE-2021-44228%22%29&sort=&page=1
• Lunasec 扫描器： https://github.com/lunasec-io/lunasec/releases/tag/v1.0.0-log4shell
• 日志扫描器（检查本地日志文件中是否存在利用尝试的迹象） https://github.com/Neo23x0/log4shell-detector
• 检测文件系统中的 log4j 版本，包括深度递归嵌套的副本（jar 包内嵌 jar 包）。适用于 Linux、Windows 和 Mac，以及所有可运行 Java 的平台！ https://github.com/mergebase/log4j-detector
• 基于 Ansible 的扫描器 https://github.com/robertdebock/ansible-role-cve_2021_44228

2. 入侵指标

• NCC Group 入侵指标 https://research.nccgroup.com/2021/12/12/log4shell-reconnaissance-and-post-exploitation-network-detection/
• 嵌套的 Log4J 利用字符串 https://github.com/Puliczek/CVE-2021-44228-PoC-log4j-bypass-words
• 微软威胁情报中心的 IOC 源 https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Sample%20Data/Feeds/Log4j_IOC_List.csv
• Crowdsec IOC 列表 https://gist.github.com/blotus/f87ed46718bfdc634c9081110d243166

Florian Roth 还发布了一个很棒的 YARA 规则：https://github.com/Neo23x0/signature-base/blob/master/yara/expl_log4j_cve_2021_44228.yar

3. 易受攻击的应用程序

• （荷兰）NCSC 易受攻击的应用程序列表： https://github.com/NCSC-NL/log4shell/blob/main/software/README.md

4. 信息

• Lunasec（检测和缓解 Log4Shell 的指南） https://www.lunasec.io/docs/blog/log4j-zero-day-mitigation-guide/
• Govcert.ch 针对流行 Java 库 Log4j 的零日利用 https://www.govcert.ch/blog/zero-day-exploit-targeting-popular-java-library-log4j/
• 荷兰 NCSC 指南： https://www.ncsc.nl/actueel/nieuws/2021/december/12/kwetsbare-log4j-applicaties-en-te-nemen-stappen
• 荷兰 NCSC 公告： https://www.ncsc.nl/actueel/advisory?id=NCSC-2021-1052
• Log4Shell：防御者最可怕的噩梦？ https://www.sekoia.io/en/log4shell-the-defenders-worst-nightmare/
• 微软：预防、检测和搜寻 CVE-2021-44228 Log4j 2 利用的指南 https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/
• 如何通过 MS Endpoint Manager 检测 Log4j（Alex Verboon） https://www.verboon.info/2021/12/how-to-detect-the-log4shell-vulnerability-cve-2021-44228-with-microsoft-endpoint-configuration-manager/
• 攻击者现已从 LDAP 转向 RMI https://blogs.juniper.net/en-us/threat-research/log4j-vulnerability-attackers-shift-focus-from-ldap-to-rmi
• Conti 成为首个利用 Log4j2 的高度复杂犯罪软件组织 https://www.advintel.io/post/ransomware-advisory-log4shell-exploitation-for-initial-access-lateral-movement

5. 样本

• VX-underground 维护着一个样本库，其中包含已被发现滥用 log4j CVE 的恶意软件家族样本：https://samples.vx-underground.org/samples/Families/Log4J%20Malware/

• log4j 库版本样本，用于帮助验证 log4j 扫描器/检测器：https://github.com/mergebase/log4j-samples/

• Microsoft Sentinel 提供了一个 CVE-2021-44228 Log4Shell 研究实验室环境，用于测试和了解该漏洞的更多信息：https://github.com/Cyb3rWard0g/log4jshell-lab

6. 补丁

• Apache LOG4J 版本 2.17.1 https://logging.apache.org/log4j/2.x/download.html

7. 缓解指南

！重要！ 漏洞利用程序正在不断开发中。请务必使用最新版本的扫描器。下面使用的扫描器已被验证会考虑推荐使用 log4j 2.17.1 版本。

1. 使用 https://github.com/NCSC-NL/log4shell/blob/main/software/README.md 识别潜在的易受攻击设备 - 这是一项耗时的任务，但你无论如何都需要做，所以最好尽快开始！

2. 使用 https://github.com/dtact/divd-2021-00038--log4j-scanner 运行扫描，检查是否存在易受攻击的 Java 应用程序/依赖项，命令为 divd-2021-00038--log4j-scanner.exe {target-path}，并留意被归类为易受攻击的文件。

3. 使用 https://github.com/Neo23x0/log4shell-detector 运行扫描，检查是否存在利用尝试，命令为 python3 log4shell-detector.py -p c:\，并留意利用尝试。

8. Wortell 博客

以下是 Wortell 专家关于 LOG4J 的博客：

• Jeffrey Appel：Microsoft Defender https://jeffreyappel.nl/microsoft-defender-for-endpoint-log4j/

• Jeroen Niesen：逆向工程 https://www.wortell.nl/en/blogs/cve-2021-44228-log4shell