本文深入解析了log4Shell漏洞，它是一个影响广泛、危害严重的Java库log4j中的漏洞。该漏洞允许攻击者通过预留的电话机制，利用JNDI和LDAP协议，泄露和操纵企业内部信息，甚至植入恶意程序。攻击者只需在系统中输入特殊注入语句，即可发起攻击。防止措施包括限制系统对外部网络的访问、禁用JNDI通信协议和打补丁。文章提醒开发者在追求功能和易用性时，不应忽视安全性，提高防护意识是关键。
文 | 李晓飞
来源：Python 技术「ID: pythonall」
2020 年的12月，势必成为各个互联网公司年度最深刻的记忆。
在 12 月初，爆出了一个核弹级的系统漏洞，导致众多互联网公司内部服务器被发现，劫持，甚至植入程序。
尽管目前已经出台了修复补丁，但这个出现在最基础的应用最广泛的模块 log4j 上的漏洞还是让我们心有余悸。
为什么这么就没有被发现，为什么这个漏洞如此严重，这个漏洞到底是怎么回事？……
什么样的漏洞
log4j[1] 是 Java 标准库的模块，主要负责记录各种日志，和 Python 中的 logging[2] 类似。
log4j 功能强大，可以支持各种场景的日志记录需求，比如将日志输出到终端，将日志记录到文件，或者发送到日志服务器等等，可以说但凡需要记录日志的地方，log4j 是最佳选择。
正是由于这一点，log4j 才成为最常用的模块，加上互联网公司的基础设施都是由 java 构建的，所以 log4j 深入到每个公司的角角落落。
log4j 就像一个兢兢业业，任劳任怨的门卫老大爷，一丝不苟的记录着各种来访信息，以便系统排查问题。
为什么这样一个普通的，不起眼的模块会爆出一个惊天漏洞呢？
为了说明这个情况，我借鉴 少数派 PlatyHsu 的比喻[3]做讲解，即使你不会编程，不懂技术也可以理解。
最低0.47元/天 解锁文章
2395
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
