Log4j 核弹级漏洞 log4j核弹级漏洞
yuyutoo 2024-10-16 15:41 7 浏览 0 评论
Log4j
危险评分：9.8(来自360)
危害范围：所有使用到Log4j输出日志的java web服务端
解决方案：jdk版本控制，jvm配置，Log4j版本控制
javaweb应用牵涉到了全世界大半公司的网页开发之中，如果javaweb的安全出现了问题，那么你回看到一种现象：程序员都在加班修bug、找解决方案。
Log4j一直被广泛应用到了javaweb中，然而因为Log4j中jndi技术从而被黑客拿来搞事情；
lookup是什么？它能查看jdk版本，电脑操作系统版本，jvm版本，硬件信息等，而lookup就支持jndi技术。
那么jndi是什么？jndi其实就是lookup中提供不到的查找方法的解决，可以用jndi本地查找对象，rmi即是远程查找对象。
Log4j其实在2020年或者更早就被曝光其中存在安全漏洞，攻击者可以远程随意让服务器执行任何java代码，然而最近Apache的公布真的是晚了，在漏洞没被发现期间，很多服务器就已经被遭到了恶意攻击，受害程度到了隐私泄露、sql查改、文件增删改查、系统API调用等各种灾难级别的。
Log4j漏洞示意图：
可以看得出黑客通过${执行类地址}就能轻松攻击服务器，是不是很像sql注入？可以说这就是"升级版sql注入"即jndi注入，这种注入方式多了一个步骤，就是攻击者开启一个服务端口，把攻击的代码传入到服务里面，然后再在网页当中执行改语句就可以了，十分方便，若有前端验证，攻击者还会用post get方法跳过验证进行攻击，是不是十分可怕。
Log4j的这一次漏洞将会把javaweb的历史留下一处深深的伤痕，当然也让开发者记住了这次教训。
总结：我们程序员在开发的同时，也应该多读源码，注意细节，你都不知道别人在里面的细节有没有做好就直接调过来使用，能安全吗？
相关推荐
- 从零搭建高可用的 MySQL 主从复制架构(基于 Linux 实战指南)
-
背景在生产环境中，单点MySQL数据库容易成为性能瓶颈或单点故障源。搭建MySQL主从复制架构，可以实现读写分离、高可用，提升系统的整体稳定性与扩展性。...
- 国外大神成功让Nexus4吃上安卓6.0:基本可正常使用
-
IT之家讯10月9日消息谷歌已经于10月6日正式开启了Nexus设备Android6.0Marshmallow系统的OTA升级推送。根据之前报道的消息，老一批的Nexus手机如Nexus4/Ne...
- 急死!CPU被挖矿了，却找不到哪个进程
-
CPU起飞了最近有朋友在群里反馈，自己服务器的CPU一直处于高占用状态，但用...
- 甜甜的安卓5.0却让手机ROOT难度大大增加
-
IT之家（www.ithome.com）：甜甜的安卓5.0却让手机ROOT难度大大增加对设备进行ROOT，毫无疑问，这是安卓最美丽的地方之一，不管是对于消费者来说还是开发者。Root意味着掌握更多的权...
- Linux基础知识（linux基础知识点及答案）
-
系统目录结构/bin：命令和应用程序。/boot：这里存放的是启动Linux时使用的一些核心文件，包括一些连接文件以及镜像文件。/dev：dev是Device(设备)的缩写,该目录...
- Linux 内核 6.15 发布:内存、网络、文件系统全面升级!
-
核心增强：性能与安全双飞升！Linux内核6.15的正式版！虽然因一个临门一脚的Bug晚了几小时，但最终还是带着一堆硬核更新闪亮登场！...
- AlmaLinux 9.6 发布，新增功能亮点纷呈!
-
距离上一版本AlmaLinux9.5发布六个月后，基于5.14内核的AlmaLinux正式宣布其企业级Linux发行版的9.x系列第六个更新——AlmaLinux9.6（Sag...
- 理解Linux下的SELinux（linux seccomp）
-
理解Linux下的SELinux长久以来，每当遇到授权问题或者新安装的主机，我的第一反应是通过setenforce0命令禁用SELinux，来减少产生的权限问题，但是这并不是一个良好的习惯。这篇文章...
- 3个简单实用的网址导航网站（简洁的网站导航）
-
在我们使用电脑上网的时候经常会访问某些常用的网站，每一次都去通过搜索访问就比较浪费时间，添加在浏览器收藏夹不方便在其他电脑使用。找一个好用的网址导航网站就可以帮我们把所有常用的网址集合在一个页面，方便...
- 整点不一样的网站制作教程，教你怎么用网站模板制作网站#...
-
网站制作教程整点不一样的网站。不要再问我网站制作教程了，今天给你整个怎么用网站模板制作网站的教程。·1、登录账号进入后台。·2、选择模板。自助建站平台通常提供各种各样的网站模板，可以根据自己的需求和喜...
- 5个最好的外贸独立站模板，让你的网站更加专业
-
作为外贸行业从业者，一个专业且具有吸引力的网站是必不可少的。然而，建立一个专业的网站需要耗费大量的时间和精力，尤其是在设计和开发方面。为了帮助您缩短网站建设的时间和成本，以下是5个最好的外贸独立站模板...
- 网站建设模板 **网站建设模板:全面指南与创意构思*
-
网站建设模板**网站建设模板：全面指南与创意构思**随着互联网技术的迅猛发展，网站已成为企业、机构和个人展示自身形象、传递信息、实现交流的重要平台。本文将详细介绍网站建设的基本模板，并提供创意...
- 原地封神!一个只用套模板即可制作电子相册的网站
-
对于忙碌的年轻人来说，一键操作的模板意味着无需复杂的操作步骤，就能轻松制作出精美的电子相册。但是一个好的工具也是事关重要，最近发现了一款非常适合年轻人的模板---FLBOOK在线制作电子杂志平台，只需...
- 跨屏建站网kpfree免费网站模板2023.1.14发布更新
-
跨屏建站网kpfree免费网站模板2023.1.14发布更新，摒弃了之前的卡片式设计，采用了移动优先的设计原则，简化了页面设计风格，优化了代码，优化了图片质量，确保网页打开速度。砍掉了一些花哨而无用的...
- 响应式大型电子企业集团类网站模板源码-青柠资源网qnziyw.cn
-
模板信息：模板编号：10964模板编码：UTF8模板颜色：红色模板分类：科技、电子、数码设备适合行业：电子设备类企业模板介绍：本模板自带eyoucms内核，无需再下载eyou系统，原创设计、手工书写D...
欢迎 你 发表评论:
- 一周热门
- 最近发表
- 标签列表
-
- mybatis plus (70)
- scheduledtask (71)
- css滚动条 (60)
- java学生成绩管理系统 (59)
- 结构体数组 (69)
- databasemetadata (64)
- javastatic (68)
- jsp实用教程 (53)
- fontawesome (57)
- widget开发 (57)
- vb net教程 (62)
- hibernate 教程 (63)
- case语句 (57)
- svn连接 (74)
- directoryindex (69)
- session timeout (58)
- textbox换行 (67)
- extension_dir (64)
- linearlayout (58)
- vba高级教程 (75)
- iframe用法 (58)
- sqlparameter (59)
- trim函数 (59)
- flex布局 (63)
- contextloaderlistener (56)