探索Northwave的Log4j CVE-2021-44228检测工具
在2021年12月10日,一个针对Java库"log4j"的重大远程代码执行漏洞(RCE)Proof-of-Concept被公开,该漏洞被称为CVE-2021-44228。为了应对这一威胁,Northwave开发了一款检查脚本,用于检测可能受影响的系统。
项目介绍
Northwave Log4j CVE-2021-44228 Checker是一款实用的脚本工具,它通过注入payload到常见的HTTP头部和HTTP GET请求中来测试系统的易感性。当检测到含有特定UUID的DNS响应时,将被视为存在漏洞。这个方法特别之处在于,它依赖于监听DNS查询而非设置LDAP服务器,这有助于在有严格出站流量过滤的情况下检测潜在的漏洞。
项目技术分析
脚本涵盖了以下HTTP头部:
- X-Api-Version
- User-Agent
- Referer
- X-Druid-Comment
- Origin
- Location
- X-Forwarded-For
- Cookie
- X-Requested-With
- X-Forwarded-Host
- Accept
并且检查了以下JNDI前缀:
- jndi:rmi
- jndi:ldap
- jndi:dns
- jndi:${lower:l}${lower:d}ap
脚本利用Python编写,并依赖于BIND DNS服务器进行日志记录。
应用场景
这款工具非常适合网络管理员、安全研究人员以及任何希望确保其环境免受Log4j漏洞影响的组织。它可以轻松集成到现有的安全评估流程中,以辅助进行安全漏洞扫描。
项目特点
- 高效检测: 通过监听DNS请求,可以在出站DNS通常不受限制的环境中发现潜在漏洞。
- 广泛覆盖: 脚本针对多个常见HTTP头字段和JNDI前缀进行测试,提高了检测的全面性。
- 易于部署: 只需配置DNS子域和BIND DNS服务器,即可运行检查脚本。
- 灵活的选项: 用户可以通过命令行参数自定义URL列表、等待时间和超时时间。
- 开源许可证: 根据MIT许可证发布,允许自由使用和改进。
然而,需要注意的是,由于只进行了特定的检查,可能存在漏检情况,因此还需要结合其他手段(如文件系统检查)来进行全面判断。
总的来说,Northwave Log4j CVE-2021-44228 Checker是一个强大的工具,能够帮助你在Log4j漏洞威胁下快速做出反应。立即下载并尝试,为你的网络安全增添一份保障。