共计 660 个字符,预计需要花费 2 分钟才能阅读完成。
起源:cnBeta
在 Log4shell 破绽曝光之后,美国网络安全与基础设施局(CISA)始终在亲密关注事态倒退。除了催促联邦机构在圣诞假期之前实现修补,国防部上司的该机构还发动了 #HackDHS 破绽赏金打算。 最新消息是,CISA 又推出了一款名叫“log4j-scanner”的破绽扫描器,以帮忙各机构筛查易受攻击的 web 服务。
据悉,作为 CISA 疾速口头小组与开源社区团队的一个衍生我的项目,log4j-scanner 可能对易受两个 Apache 近程代码执行破绽影响的 Web 服务进行辨认(别离是 CVE-2021-44228 和 CVE-2021-45046)。
这套扫描解决方案建设在相似的工具之上,包含由网络安全公司 FullHunt 开发的针对 CVE-2021-44228 破绽的主动扫描框架。
有须要的平安团队,可借助该工具对网络主机进行扫描,以查找 Log4j RCE 裸露和让 Web 应用程序绕过防火墙(WAF)的潜在威逼。
CISA 在 log4j-scanner 我的项目主页上介绍了如下性能:
● 反对对立资源定位符(URL)列表。
● 可对 60 多个 HTTP 申请标头开展含糊测试(不仅限于 3-4 个)。
● 可对 HTTP POST 数据参数发展含糊测试。
● 可对 JSON 数据参数发展含糊测试。
● 反对用于破绽发现和验证的 DNS 回调。
● 可筛查有效载荷的防火墙(WAF)绕过。
开源前哨
日常分享热门、乏味和实用的开源我的项目。参加保护 10 万 + Star 的开源技术资源库,包含:Python、Java、C/C++、Go、JS、CSS、Node.js、PHP、.NET 等。