最近log4j2漏洞比较火，涉及到的范围比较广。是热点，就应该去了解下，要不coder见coder聊啥，对吧。
这个漏洞应该是JNDI可以加载远程的class文件导致的，而log4j2是用这种方式去获取类的。JNDI注入，和sql注入很相似，就是用户输入的数据，程序没有拦截过滤，然后用户可以利用漏洞来执行自己的代码。
如果服务端用日志打印一些用户自定义的值，比如header里的各种参数。然后我模拟一个http请求，把参数值写成一个我自己服务器的class文件，那么这个class的加载会在服务端执行，那就有意思了，相当于给我打通了一个入口，我想执行啥就执行啥，是挺恐怖的。。
现在log4j2也发布了bugfix版本，加了一条规则，得是指定目录下的类，才会被加载。
Log4j漏洞 Apache Log4j2是一个基于Java的日志记录工具。由于Apache Log4j2存在递归...
12 月 10 日凌晨，Apache 开源项目 Log4j2 的远程代码执行漏洞细节被公开，漏洞威胁等级为：严重。...
漏洞描述 1.Apache Log4j2 是一个基于Java的日志记录库。由于Log4j2内部实现JNDI（Jav...
漏洞描述 2021年12月10日，国家信息安全漏洞共享平台（CNVD）收录了Apache Log4j2远程代码执行...
1、漏洞描述一个Apache Log4j2反序列化远程代码执行漏洞细节已被公开，Apache Log4j-2中存在...
0x01前言 最近IT圈被爆出的log4j2漏洞闹的沸沸扬扬，log4j2作为一个优秀的java程序日志监控组件，...
最近，出来了个Log4j2的漏洞，安全圈跟过年了一样，于是也跟着热闹热闹。 Log4j2作为一个开源的Java日志...
1、前言 Apache Log4j2 JNDI 注入漏洞（CVE-2021-44228）持续发酵，目前网络上提供了...
1、前言 Apache Log4j2 JNDI 注入漏洞（CVE-2021-44228）持续发酵，目前网络上提供了...
Log4j 漏洞处置方案汇总 #Log4j2 （CVE-2021-44228/CVE-2021-45046/CVE...
本文标题：log4j2漏洞
本文链接：https://www.haomeiwen.com/subject/rfqzxrtx.html
网友评论