Log4j重大漏洞、看看我怎么重现与解决-阿里云开发者社区

Log4j重大漏洞、看看我怎么重现与解决

2022-04-27 181

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

简介： Log4j重大漏洞、看看我怎么重现与解决

这两天有没有被 Log4j 爆出的漏洞给惊到！

作为一个行业人的角度来看（小白），我是在知道漏洞的第一时间看了一下相关的新闻也大概是知道这个漏洞是怎么一个来龙去脉了。

先来看看官方漏洞描述：

Apache Log4j2 是一个基于 Java 的日志记录工具。该工具重写了 Log4j 框架，并且引入了大量丰富的特性。该日志框架被大量用于业务系统开发，用来记录日志信息。

在大多数情况下，开发者可能会将用户输入导致的错误信息写入日志中。攻击者利用此特性可通过该漏洞构造特殊的数据请求包，最终触发远程代码执行。

该漏洞危害等级：严重

影响范围：2.0 <= Apache log4j2 <= 2.14.1

解释起来就是，当系统使用 log4j 通过 ${} 形式将用户输入的信息打印到日志时，那这就会出现安全问题

演示

1、新建一个基本 maven 项目

2、添加如下依赖

<dependency>
    <groupId>org.apache.logging.log4j</groupId>
    <artifactId>log4j-core</artifactId>
    <version>2.14.0</version>
</dependency>
<dependency>
    <groupId>org.apache.logging.log4j</groupId>
    <artifactId>log4j-api</artifactId>
    <version>2.14.0</version>
</dependency>

3、编写 Java 代码

public class Log4jErrorTest {
    private static final Logger logger = LogManager.getLogger();
    public static void main(String[] args) {
        // 注意这个变量
        String error = "${java:vm}";
        logger.error("==============危险打印，{}", error);
    }
}