Exploit for CVE-2021-44228-DFIR-Notes

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-AZEEMERING-CVE-2021-44228-DFIR-NOTES
# CVE-2021-44228 DFIR-Notes

घर जाते समय मुझे #log4shell कमजोरी के बारे में पहले संदेश मिलने शुरू हुए।

Apache Log4j 2 उपयोगिता के कई संस्करणों को प्रभावित करने वाली एक उच्च गंभीरता वाली कमजोरी (CVE-2021-44228) 9 दिसंबर, 2021 को प्रोजेक्ट के GitHub के माध्यम से सार्वजनिक रूप से प्रकाशित की गई थी। यह कमजोरी, जिसे अलीबाबा क्लाउड सिक्योरिटी टीम के चेन झाओजुन ने खोजा था, Apache Log4j 2 संस्करण 2.0 से 2.14.1 को प्रभावित करती है।

जब मैं घर पहुंचा तो सीधा काम में लग गया। हमेशा की तरह Splunk4tw।

पहला प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट GitHub पर प्रकाशित होने के बाद, खतरा अभिनेताओं ने इस दूरस्थ रूप से शोषण योग्य सुरक्षा दोष के प्रति संवेदनशील सिस्टम के लिए इंटरनेट पर स्कैन करना शुरू कर दिया, जिसके लिए प्रमाणीकरण की आवश्यकता नहीं होती है। नीचे आप उन स्कैनिंग और एक्सप्लॉइट प्रयासों का हिस्सा देखेंगे।

मेरा पहला कदम यह देखना है कि क्या किसी ने प्रारंभिक YARA नियम जारी किया है। यहाँ मिला https://gist.github.com/Neo23x0/e4c8b03ff8cdf1fa63b7d15db6e3860b (धन्यवाद फ्लोरियन रोथ)

इसमें डिटेक्शन स्ट्रिंग्स के लिए निम्नलिखित का उल्लेख है: ` strings: $x1 = "${jndi:ldap:/" $x2 = "${jndi:rmi:/" $x3 = "${jndi:ldaps:/" $x4 = "${jndi:dns:/" `

मैं डरा हुआ नहीं हूँ....चलो कुछ CPU का दुरुपयोग करें और सबसे बुरे Splunk सर्च के साथ सीधे वार करें।

` index=* jndi:ldap* (updated query with index=* "{lower:l}${lower:d}a${lower:p}") `

मेरे दोनों iis लॉग और विंडोज इवेंटलॉगिंग (संशोधित) में कुछ हिट्स हैं, और फायरवॉल लॉगिंग पर बहुत सारे ब्लॉक किए गए प्रयास हैं....

IIS: ![image](https://assets.kitploit.com/production/public/readmes/15460/50a5ebf3c7a52bc69f7e8feebd1aecbb7035445f62de403097513819c078fa7f.png)