Exploit for MyLog4Shell

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-KAL1GH0ST-MYLOG4SHELL
# Мой Log4Shell

# Обнаружение эксплуатации уязвимости RCE в log4j

Вы можете использовать эти команды и правила для поиска попыток эксплуатации уязвимости RCE в log4j CVE-2021-44228

## Grep / Zgrep

Эта команда ищет попытки эксплуатации в несжатых файлах в папке `/var/log` \- '/usr/var/log' и всех подпапках

root@kitploit:~
    
    
    sudo egrep -I -i -r '\$(\{|%7B)jndi:(ldap[s]?|rmi|dns|nis|iiop|corba|nds|http):/[^\n]+' /var/log
    

Эта команда ищет попытки эксплуатации в сжатых файлах в папке `/var/log` и всех подпапках

root@kitploit:~
    
    
    sudo find /var/log -name \*.gz -print0 | xargs -0 zgrep -E -i '\$(\{|%7B)jndi:(ldap[s]?|rmi|dns|nis|iiop|corba|nds|http):/[^\n]+'
    

## Grep / Zgrep - Запутанные варианты

Эти команды охватывают даже запутанные варианты, но в результате совпадения не указывается имя файла.

Эта команда ищет попытки эксплуатации в несжатых файлах в папке `/var/log` и всех подпапках

root@kitploit:~
    
    
    sudo find /var/log/ -type f -exec sh -c "cat {} | sed -e 's/\${lower://'g | tr -d '}' | egrep -I -i 'jndi:(ldap[s]?|rmi|dns|nis|iiop|corba|nds|http):'" \;
    

Эта команда ищет попытки эксплуатации в сжатых файлах в папке `/var/log` и всех подпапках

root@kitploit:~
    
    
    sudo find /var/log/ -name '*.gz' -type f -exec sh -c "zcat {} | sed -e 's/\${lower://'g | tr -d '}' | egrep -i 'jndi:(ldap[s]?|rmi|dns|nis|iiop|corba|nds|http):'" \;
    

## Log4Shell-Rex

Огромное регулярное выражение, охватывающее даже самые запутанные варианты: https://github.com/back2root/log4shell-rex

root@kitploit:~
    
    
    (?:\$|%(?:25)*24|\\(?:0024|0{0,2}44))(?:{|%(?:25)*7[Bb]|\\(?:007[Bb]|0{0,2}173)).{0,30}?((?:[Jj]|%(?:25)*[46][Aa]|\\(?:00[46][Aa]|0{0,2}1[15]2)).{0,30}?(?:[Nn]|%(?:25)*[46][Ee]|\\(?:00[46][Ee]|0{0,2}1[15]6)).{0,30}?(?:[Dd]|%(?:25)*[46]4|\\(?:00[46]4|0{0,2}1[04]4)).{0,30}?(?:[Ii]|%(?:25)*[46]9|\\(?:00[46]9|0{0,2}1[15]1)|ı).{0,30}?(?::|%(?:25)*3[Aa]|\\(?:003[Aa]|0{0,2}72)).{0,30}?((?:[Ll]|%(?:25)*[46][Cc]|\\(?:00[46][Cc]|0{0,2}1[15]4)).{0,30}?(?:[Dd]|%(?:25)*[46]4|\\(?:00[46]4|0{0,2}1[04]4)).{0,30}?(?:[Aa]|%(?:25)*[46]1|\\(?:00[46]1|0{0,2}1[04]1)).{0,30}?(?:[Pp]|%(?:25)*[57]0|\\(?:00[57]0|0{0,2}1[26]0))(?:.{0,30}?(?:[Ss]|%(?:25)*[57]3|\\(?:00[57]3|0{0,2}1[26]3)))?|(?:[Rr]|%(?:25)*[57]2|\\(?:00[57]2|0{0,2}1[26]2)).{0,30}?(?:[Mm]|%(?:25)*[46][Dd]|\\(?:00[46][Dd]|0{0,2}1[15]5)).{0,30}?(?:[Ii]|%(?:25)*[46]9|\\(?:00[46]9|0{0,2}1[15]1)|ı)|(?:[Dd]|%(?:25)*[46]4|\\(?:00[46]4|0{0,2}1[04]4)).{0,30}?(?:[Nn]|%(?:25)*[46][Ee]|\\(?:00[46][Ee]|0{0,2}1[15]6)).{0,30}?(?:[Ss]|%(?:25)*[57]3|\\(?:00[57]3|0{0,2}1[26]3))|(?:[Nn]|%(?:25)*[46][Ee]|\\(?:00[46][Ee]|0{0,2}1[15]6)).{0,30}?(?:[Ii]|%(?:25)*[46]9|\\(?:00[46]9|0{0,2}1[15]1)|ı).{0,30}?(?:[Ss]|%(?:25)*[57]3|\\(?:00[57]3|0{0,2}1[26]3))|(?:.{0,30}?(?:[Ii]|%(?:25)*[46]9|\\(?:00[46]9|0{0,2}1[15]1)|ı)){2}.{0,30}?(?:[Oo]|%(?:25)*[46][Ff]|\\(?:00[46][Ff]|0{0,2}1[15]7)).{0,30}?(?:[Pp]|%(?:25)*[57]0|\\(?:00[57]0|0{0,2}1[26]0))|(?:[Cc]|%(?:25)*[46]3|\\(?:00[46]3|0{0,2}1[04]3)).{0,30}?(?:[Oo]|%(?:25)*[46][Ff]|\\(?:00[46][Ff]|0{0,2}1[15]7)).{0,30}?(?:[Rr]|%(?:25)*[57]2|\\(?:00[57]2|0{0,2}1[26]2)).{0,30}?(?:[Bb]|%(?:25)*[46]2|\\(?:00[46]2|0{0,2}1[04]2)).{0,30}?(?:[Aa]|%(?:25)*[46]1|\\(?:00[46]1|0{0,2}1[04]1))|(?:[Nn]|%(?:25)*[46][Ee]|\\(?:00[46][Ee]|0{0,2}1[15]6)).{0,30}?(?:[Dd]|%(?:25)*[46]4|\\(?:00[46]4|0{0,2}1[04]4)).{0,30}?(?:[Ss]|%(?:25)*[57]3|\\(?:00[57]3|0{0,2}1[26]3))|(?:[Hh]|%(?:25)*[46]8|\\(?:00[46]8|0{0,2}1[15]0))(?:.{0,30}?(?:[Tt]|%(?:25)*[57]4|\\(?:00[57]4|0{0,2}1[26]4))){2}.{0,30}?(?:[Pp]|%(?:25)*[57]0|\\(?:00[57]0|0{0,2}1[26]0))(?:.{0,30}?(?:[Ss]|%(?:25)*[57]3|\\(?:00[57]3|0{0,2}1[26]3)))?).{0,30}?(?::|%(?:25)*3[Aa]|\\(?:003[Aa]|0{0,2}72)).{0,30}?(?:\/|%(?:25)*2[Ff]|\\(?:002[Ff]|0{0,2}57)|\${)|(?:[Bb]|%(?:25)*[46]2|\\(?:00[46]2|0{0,2}1[04]2)).{0,30}?(?:[Aa]|%(?:25)*[46]1|\\(?:00[46]1|0{0,2}1[04]1)).{0,30}?(?:[Ss]|%(?:25)*[57]3|\\(?:00[57]3|0{0,2}1[26]3)).{0,30}?(?:[Ee]|%(?:25)*[46]5|\\(?:00[46]5|0{0,2}1[04]5)).{2,60}?(?::|%(?:25)*3[Aa]|\\(?:003[Aa]|0{0,2}72))(JH[s-v]|[\x2b\x2f-9A-Za-z][CSiy]R7|[\x2b\x2f-9A-Za-z]{2}[048AEIMQUYcgkosw]ke[\x2b\x2f-9w-z]))
    

## Log4Shell Detector (Python)

Сканер на Python для обнаружения наиболее запутанных форм кодов эксплойтов.

https://github.com/Neo23x0/log4shell-detector

## Поиск Log4j в Linux

root@kitploit:~
    
    
    ps aux | egrep '[l]og4j'
    find / -iname "log4j*"
    lsof | grep log4j
    grep -r --include *.[wj]ar "JndiLookup.class" / 2>&1 | grep matches
    

## Поиск уязвимого Log4j в Windows

root@kitploit:~
    
    
    gci 'C:\' -rec -force -include *.jar -ea 0 | foreach {select-string "JndiLookup.class" $_} | select -exp Path
    

от @CyberRaiju

## YARA

https://github.com/Neo23x0/signature-base/blob/master/yara/expl_log4j_cve_2021_44228.yar

## Помощь всем

Пожалуйста, сообщайте о находках, которые не охватываются этими попытками обнаружения.

# Использование setup.py

#    
log4j-detect 

#### Простой скрипт на Python 3 для обнаружения уязвимости (CVE-2021-44228) в Java-библиотеке "Log4j" для списка URL-адресов с многопоточностью

* * *

Скрипт "log4j-detect.py", разработанный на Python 3, отвечает за обнаружение, уязвим ли список URL-адресов для CVE-2021-44228.

Для этого он отправляет GET-запрос с использованием потоков (более высокая производительность) на каждый URL-адрес из указанного списка. GET-запрос содержит полезную нагрузку, которая в случае успеха возвращает DNS-запрос к Burp Collaborator / interactsh. Эта полезная нагрузка отправляется в тестовом параметре и в заголовках "User-Agent" / "Referer" / "X-Forwarded-For" / "Authentication".

Наконец, если хост уязвим, идентификационный номер появится в префиксе поддомена полезной нагрузки Burp Collaborator / interactsh и в выводе скрипта, позволяя узнать, какой хост ответил через DNS.

Следует отметить, что этот скрипт занимается только обнаружением уязвимости через DNS и не проверяет удалённое выполнение команд.

### Загрузка log4j-detect.py

root@kitploit:~
    
    
    wget https://github.com/takito1812/log4j-detect/raw/main/log4j-detect.py
    

### Запуск log4j-detect.py

root@kitploit:~
    
    
    python3 log4j-detect.py <urlFile> <collaboratorPayload>
    

![imagen](https://assets.kitploit.com/production/public/readmes/27850/842bc9843b8e48f553f13c61a1c66fa863554145d07aabe6c83b83a8c649e888.png)