【Log4j2 漏洞与解决方案】

一、破坏原理

Log4j2 bug的破坏方式是什么，其实很简单，就是类似于SQL注入，这个更厉害，直接是代码注入，代码执行权限自然相当于应用权限。这就属于是一个打印日志的工具人，不好好干活，还把鬼子引进的村。
  那主要原理是什么呢？就是在打印日志时，如果发现日志内容中包含关键词 ${ }，那么在{ }包含的内容会被当做变量来进行替换，导致攻击者可以任意执行命令。详细漏洞披露可查看：https://issues.apache.org/jira/projects/LOG4J2/issues/LOG4J2-3201?filter=allissues
  其实主要是因为Log4J2里的一个插件：Lookup，出了大问题。这本是个不常用的插件，但代码触发到的频率很高，高到你代码中每次触发info，warn，error 等日志写入的时候，都会去校验一下是否执行Lookup的逻辑。其中问题比较严重的有JndiLookup和RMILookup功能，JNDI可以发现查找数据和资源，RMI则是远程调用。如果用你的主机，远程调用我启动的破坏代码(应用服务)呢，这时候你的服务主机就是案板上的肉了，任人宰割。

二、解决方案

更改 JVM 运行参数

有的项目，可能依赖较为复杂，且不方便重新编译，可以直接在运行时，添加以下JVM参数，这样可以禁止Lookup生效

-Dlog4j2.formatMsgNoLookups=true

参考链接：https://blog.csdn.net/qq_22136439/article/details/121906595