0x00 Introduction

CVE-2021-44228 (a.k.a. log4shell) is a Remote Code Execution vulnerability in the Apache Log4j library, a Java-based logging tool widely used in applications around the world. This vulnerability allows an attacker who can control log messages to execute arbitrary code loaded from attacker-controlled servers — and we anticipate that most apps using the Log4j library will meet this condition.

Apache Log4j2 <=2.14.1 JNDI features used in configuration, log messages, and parameters do not protect against attacker controlled LDAP and other JNDI related endpoints. An attacker who can control log messages or log message parameters can execute arbitrary code loaded from LDAP servers when message lookup substitution is enabled. From log4j 2.15.0, this behavior has been disabled by default. Affected versions are 2.0 <= Apache log4j <= 2.14.1

Burp Suite İle HTTP Basic Auth Brute Force

HTTP Basic Authentication, kimlik bilgilerini http paketine eklediği Authentication başlığında aşağıdaki formata uygun şekilde tutmaktadır.

1

Authorization: Basic base64encode("username:password")

Brute force yaparken bizim değişken alanımız http headerlerında bulunan Authorization: Basic kısmından sonraki ifade olan base64 ile encode edilmiş kısım olacaktır.

requests minimalist bir python modülüdür. Bu modül ile en temel şekilde http/https protokollerine yönelik request/response işlemlerimizi gerçekleştirebiliriz.
Requests modülünü pip ile kurmak için;

1

pip3 install requests

Kaynak koddan kurmak için ise;

1

git clone git://github.com/kennethreitz/requests.git

indirdiğiniz dizine girip python3 setup.py install diyerek kurabilirsiniz.

Sqli bir çok varyasyonu olan bir web uygulama zafiyettir. Ancak hepsinde hedeflenen izinsiz bir şekilde sql sorgusu çalıştırmaktır. Türlerine göre bazılarını istismar etmek çok kolay olsada bazıları için ise fazladan uğraş verilmesi gerekir. Bu tür durumlarda işi otomatize hale getirmek için yazılan ufak toollar, zamandan tasarruf etmek açısından çok başarılı olabilmektedir. Sqli için ise birçok tool mevcut olmasına karşın hatta bizim yazacağımız tooldan bile daha işlevsel olmalarına rağmen bu yazıda kendi toolumuzu yazarak şunu hedefliyoruz aslında; hem zafiyetin arkasındaki mantığı anlamak hem de toollar nasıl yazılır konusunda bir nebzede olsa fikir sahibi olmak. Bu arada sqlmap varken neden böyle bir atraksiyona girişelim sorusu da cevap buldu sanırım. Öte yandan bir zafiyeti istismar ederken kendi ihtiyaçlarınıza göre ufak toolar yazarak pozitif sonuçlar alacak seviyedeyseniz zaten var olan tooları kullanmanızda bir sakınca yok bence. Biz sadece ezbere karşıyız. Mottomuz: Tool kullanmayı değil, tool yazmayı öğret.