4 lines (2 loc) · 3.53 KB

Qradar

SELECT UTF8(payload) from events where (“cs-User-Agent” ilike ‘%${jndi:ldap:/%’ or “cs-User-Agent” ilike ‘%${jndi:rmi:/%’ or “cs-User-Agent” ilike ‘%${jndi:ldaps:/%’ or “cs-User-Agent” ilike ‘%${jndi:dns:/%’ or “cs-User-Agent” ilike ‘%/$%%7bjndi:%’ or “cs-User-Agent” ilike ‘%%%24%%7bjndi:%’ or “cs-User-Agent” ilike ‘%$%%7Bjndi:%’ or “cs-User-Agent” ilike ‘%%%2524%%257Bjndi%’ or “cs-User-Agent” ilike ‘%%%2F%%252524%%25257Bjndi%%3A%’ or “cs-User-Agent” ilike ‘%${jndi:${lower:%’ or “cs-User-Agent” ilike ‘%${::-j}${%’ or “cs-User-Agent” ilike ‘%${jndi:nis%’ or “cs-User-Agent” ilike ‘%${jndi:nds%’ or “cs-User-Agent” ilike ‘%${jndi:corba%’ or “cs-User-Agent” ilike ‘%${jndi:iiop%’ or “cs-User-Agent” ilike ‘%${${env:BARFOO:-j}%’ or “cs-User-Agent” ilike ‘%${::-l}${::-d}${::-a}${::-p}%’ or “cs-User-Agent” ilike ‘%${base64:JHtqbmRp%’) and (“user-agent” ilike ‘%${jndi:ldap:/%’ or “user-agent” ilike ‘%${jndi:rmi:/%’ or “user-agent” ilike ‘%${jndi:ldaps:/%’ or “user-agent” ilike ‘%${jndi:dns:/%’ or “user-agent” ilike ‘%/$%%7bjndi:%’ or “user-agent” ilike ‘%%%24%%7bjndi:%’ or “user-agent” ilike ‘%$%%7Bjndi:%’ or “user-agent” ilike ‘%%%2524%%257Bjndi%’ or “user-agent” ilike ‘%%%2F%%252524%%25257Bjndi%%3A%’ or “user-agent” ilike ‘%${jndi:${lower:%’ or “user-agent” ilike ‘%${::-j}${%’ or “user-agent” ilike ‘%${jndi:nis%’ or “user-agent” ilike ‘%${jndi:nds%’ or “user-agent” ilike ‘%${jndi:corba%’ or “user-agent” ilike ‘%${jndi:iiop%’ or “user-agent” ilike ‘%${${env:BARFOO:-j}%’ or “user-agent” ilike ‘%${::-l}${::-d}${::-a}${::-p}%’ or “user-agent” ilike ‘%${base64:JHtqbmRp%’) and (“cs-uri” ilike ‘%${jndi:ldap:/%’ or “cs-uri” ilike ‘%${jndi:rmi:/%’ or “cs-uri” ilike ‘%${jndi:ldaps:/%’ or “cs-uri” ilike ‘%${jndi:dns:/%’ or “cs-uri” ilike ‘%/$%%7bjndi:%’ or “cs-uri” ilike ‘%%%24%%7bjndi:%’ or “cs-uri” ilike ‘%$%%7Bjndi:%’ or “cs-uri” ilike ‘%%%2524%%257Bjndi%’ or “cs-uri” ilike ‘%%%2F%%252524%%25257Bjndi%%3A%’ or “cs-uri” ilike ‘%${jndi:${lower:%’ or “cs-uri” ilike ‘%${::-j}${%’ or “cs-uri” ilike ‘%${jndi:nis%’ or “cs-uri” ilike ‘%${jndi:nds%’ or “cs-uri” ilike ‘%${jndi:corba%’ or “cs-uri” ilike ‘%${jndi:iiop%’ or “cs-uri” ilike ‘%${${env:BARFOO:-j}%’ or “cs-uri” ilike ‘%${::-l}${::-d}${::-a}${::-p}%’ or “cs-uri” ilike ‘%${base64:JHtqbmRp%’) and (“cs-referrer” ilike ‘%${jndi:ldap:/%’ or “cs-referrer” ilike ‘%${jndi:rmi:/%’ or “cs-referrer” ilike ‘%${jndi:ldaps:/%’ or “cs-referrer” ilike ‘%${jndi:dns:/%’ or “cs-referrer” ilike ‘%/$%%7bjndi:%’ or “cs-referrer” ilike ‘%%%24%%7bjndi:%’ or “cs-referrer” ilike ‘%$%%7Bjndi:%’ or “cs-referrer” ilike ‘%%%2524%%257Bjndi%’ or “cs-referrer” ilike ‘%%%2F%%252524%%25257Bjndi%%3A%’ or “cs-referrer” ilike ‘%${jndi:${lower:%’ or “cs-referrer” ilike ‘%${::-j}${%’ or “cs-referrer” ilike ‘%${jndi:nis%’ or “cs-referrer” ilike ‘%${jndi:nds%’ or “cs-referrer” ilike ‘%${jndi:corba%’ or “cs-referrer” ilike ‘%${jndi:iiop%’ or “cs-referrer” ilike ‘%${${env:BARFOO:-j}%’ or “cs-referrer” ilike ‘%${::-l}${::-d}${::-a}${::-p}%’ or “cs-referrer” ilike ‘%${base64:JHtqbmRp%’)