Log4j漏洞复现及原理（附github源码）

github仓库地址

1.背景

之前在公司收到Log4j2爆出一个重大漏洞，公司有大部分应用使用到了Log4j的2.14.0以下的版本，全公司内部程序员收到消息之后，加班加点升级Log4j的版本到2.14.1（这个版本也不稳定），在此记录一下。

2.Log4j的重大漏洞

我们复现一下Log4j 2.14.0版本中出现的安全问题。首先，我们新建一个Maven项目，引入Log4j的jar包

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
    <modelVersion>4.0.0</modelVersion>

    <groupId>org.example</groupId>
    <artifactId>log4j2Demo</artifactId>
    <version>1.0-SNAPSHOT</version>

    <dependencies>
        <dependenc