Недавно мы рассказывали о защите от уязвимости Log4j. В этой статье я покажу, как установить и использовать сканер для поиска уязвимостей Log4J-Scan.
Еще по теме: Эксплуатация уязвимости Log4j
Сканер будет полезен, как хакерам, так и специалистам ИБ, для поиска уязвимости Log4J RCE, а также для проверки WAF.
Установка и использование сканера log4J2-Scan на Windows
log4J2-Scan — это единый сканер для работы из командной строки Windows инструмент командной строки для сканирования уязвимостей и исправления.
Он также поддерживает сканирование и исправление вложенных файлов JAR.
Сканер может обнаружить уязвимости:
- CVE-2021-44228
- CVE-2021-45046 (log4j 2.15.0)
- CVE-2021-45105 (log4j 2.16.0)
- CVE-2021-44832 (log4j 2.17.0)
- CVE-2021-4104
- CVE-2019-17571
- CVE-2017-5645,
- CVE-2020-9488,
- CVE-2022-23302,
- CVE-2022-23305,
- CVE-2022-23307 (log4j 1.x)
- CVE-2021-42550 (logback 0.9–1.2.7)
Этапы установки Log4J-Scan на Windows:
Шаг 1: Перейдите на сайт и скачайте сканер log4j2. Версию «Windows x64, zip».
Шаг 2: Откройте командную строку от имени администратора.
Шаг 3: Перейдите в папку и извлеките файлы из скаченного архива.
Шаг 3: Для запуска Log4J-Scan, выполните команду:
1 |
log4j2-scan --all-drives |
Установка и использование сканера Log4J-Scan на Kali Linux
Сканер уязвимостей log4j и пакет Go для анализа файлов JAR.
Требования:
- Kali Linux OS.
- Python3.
Этапы установки Log4J-Scan на Kali Linux:
Шаг 1: Откройте терминал.
Шаг 2: Клонируйте сканер уязвимости Log4J-Scan:
1 |
git clone https://github.com/google/log4jscanner.git |
Перейдите в каталог log4jscanner:
1 |
cd log4jscanner |
Установите зависимости:
1 |
pip3 install -r requirements.txt |
Ознакомьтесь со справкой:
1 |
./log4j-scan.py -h |
Для поиска уязвимости используйте команду:
1 |
python3 log4j-scan.py -u https://www.example.com |
На этом все. Теперь вы знаете, как установить и использовать сканер уязвимостей Log4J-Scan.
Еще по теме: Как искать уязвимости сайтов