起源：cnBeta
在 Log4shell 破绽曝光之后，美国网络安全与基础设施局（CISA）始终在亲密关注事态倒退。除了催促联邦机构在圣诞假期之前实现修补，国防部上司的该机构还发动了 #HackDHS 破绽赏金打算。 最新消息是，CISA 又推出了一款名叫“log4j-scanner”的破绽扫描器，以帮忙各机构筛查易受攻击的 web 服务。
据悉，作为 CISA 疾速口头小组与开源社区团队的一个衍生我的项目，log4j-scanner 可能对易受两个 Apache 近程代码执行破绽影响的 Web 服务进行辨认（别离是 CVE-2021-44228 和 CVE-2021-45046)。
这套扫描解决方案建设在相似的工具之上，包含由网络安全公司 FullHunt 开发的针对 CVE-2021-44228 破绽的主动扫描框架。
有须要的平安团队，可借助该工具对网络主机进行扫描，以查找 Log4j RCE 裸露和让 Web 应用程序绕过防火墙（WAF）的潜在威逼。
CISA 在 log4j-scanner 我的项目主页上介绍了如下性能：
● 反对对立资源定位符（URL）列表。
● 可对 60 多个 HTTP 申请标头开展含糊测试（不仅限于 3-4 个）。
● 可对 HTTP POST 数据参数发展含糊测试。
● 可对 JSON 数据参数发展含糊测试。
● 反对用于破绽发现和验证的 DNS 回调。
● 可筛查有效载荷的防火墙（WAF）绕过。
开源前哨日常分享热门、乏味和实用的开源我的项目。参加保护 10 万 + Star 的开源技术资源库，包含：Python、Java、C/C++、Go、JS、CSS、Node.js、PHP、.NET 等。