log4j2漏洞原理分析及复现-CVE-2021-44228 （vulfocus靶场）

概念

log4j（log for java），Apache的开源日志记录组件，使用非常广泛

什么是LDAP？

轻型目录访问协议（Lightweight Directory Access Protocol，是一个开放的，中立的，工业标准的应用协议，通过IP协议提供访问控制和维护分布式信息的目录信息。

目录结构的优点：

假如有个一个数据库，名叫职业，该数据库有许多表如学生、老师、工程师...，表的字段也有许多，如姓名、性别、年龄...

假如有100条数据，其中包含工程师、学生、老师的信息。

（1）不使用目录结构存储：所有人的职业信息都存在一张表中，顺序杂乱无章，想要查询信息就需要从第一条开始遍历。如果数据在最后一条，需要查询100次。

（2）使用目录结构：那么100条数据就分布在三个表中，只需要查询其中的一个表就可得到结果，查询效率就高了

什么是JNDI？

JNDI(Java Naming and Directory Interface,Java命名和目录接口)是SUN公司提供的一种标准的Java命名系统接口，JNDI提供统一的客户端API，通过不同的访问提供者接口JNDI服务供应接口(SPI)的实现，由管理者将JNDI API映射为特定的命名服务和目录系统，使得Java应用程序可以和这些命名服务和目录服务之间进行交互。

通俗点讲，就是通过名字去寻找对应的资源、位置、服务、对象......当数据源发生变化时，只需要修改数据源就可以了。

下面用例子来解释下它的原理以及优点

例：

• 在数据库的操作中，传统的连接方式肯定是除了提供数据源的信息（如数据库类型、端口、用户名、密码）外，还需要导入