> For the complete documentation index, see [llms.txt](https://docs.pabloarrabal.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.pabloarrabal.com/explotacion/vulnerabilidades/log-poisoning.md).
# Log Poisoning
## ¿Qué es un Log Poisoning?
Esta vulnerabilidad, es explotada mediante los logs del sistema victima, mediante los cuales se ejecuta código usando el propio Log
## Apache Log Poisoning (LFI --> RCE)
En este caso, vamos a tratar de envenenar los logs de apache estos se encuentran en al ruta `/var/log/apache2/access.log`. Lo primero es verificar si podemos hacer un LFI a estos archivos.
### Explotación
Los logs de Apache, tienen la siguiente estructura:
Como se puede ver, el Log, tiene diferentes campos de información, el último es el User Agent, que es un campo que identifica al navegador/dispositivo con el que se realiza la petición, este campo, al tratarse de una cabecera, puede ser modificado, y si el archivo que tiene el parámetro es PHP, si modificamos el User Agent, por código PHP, este debería de ser interpretado. EJ
```sh
curl -s -X GET "http://localhost/test" -H "User-Agent: "
```
Por lo tanto si realizamos esta petición, y la función system de PHP no está deshabilitada, nos dará el ouput del comando:
## SSH Log Poisoning (LFI --> RCE)
En este caso, vamos a tratar de envenenar los logs de ssh, estos se encuentran en al ruta `/var/log/auth.log` o también lo podemos encontrar en `/var/log/btmp`. Lo primero es verificar si podemos hacer un LFI a estos archivos.
### Explotación
En el caso de los Logs de SSH, lo que podemos modificar es el usuario con el que intentamos entrar al ssh, pues este será el campo que debemos inyectar:
Esta es la respuesta cuando vemos los Logs mediante el LFI:
Y estos son los Logs:
Como se puede ver, los el código se interpreta y se convierte en un RCE
{% hint style="info" %}
Enlaces de Interés:
1.
2.
3.
4.
{% endhint %}
