全網(wǎng)最新Log4j?漏洞修復(fù)和臨時(shí)補(bǔ)救方法
1. 漏洞評(píng)級(jí)及影響版本
Apache Log4j 遠(yuǎn)程代碼執(zhí)行漏洞 嚴(yán)重
影響的版本范圍:Apache Log4j 2.x <= 2.14.1
2.log4j2 漏洞簡(jiǎn)單演示
創(chuàng)建maven工程
引入jar包依賴
<dependencies> <dependency> <groupId>org.apache.logging.log4j</groupId> <artifactId>log4j-api</artifactId> <version>2.14.0</version> </dependency> <dependency> <groupId>org.apache.logging.log4j</groupId> <artifactId>log4j-core</artifactId> <version>2.14.0</version> </dependency> </dependencies>
編寫log4j2配置文件
<?xml version="1.0" encoding="UTF-8"?> <Configuration status="WARN"> <!--全局參數(shù)--> <Properties> <Property name="pattern">%d{yyyy-MM-dd HH:mm:ss,SSS} %5p %c{1}:%L - %m%n</Property> <Property name="logDir">/data/logs/dust-server</Property> </Properties> <Loggers> <Root level="INFO"> <AppenderRef ref="console"/> <AppenderRef ref="rolling_file"/> </Root> </Loggers> <Appenders> <!-- 定義輸出到控制臺(tái) --> <Console name="console" target="SYSTEM_OUT" follow="true"> <!--控制臺(tái)只輸出level及以上級(jí)別的信息--> <ThresholdFilter level="INFO" onMatch="ACCEPT" onMismatch="DENY"/> <PatternLayout> <Pattern>${pattern}</Pattern> </PatternLayout> </Console> <!-- 同一來(lái)源的Appender可以定義多個(gè)RollingFile,定義按天存儲(chǔ)日志 --> <RollingFile name="rolling_file" fileName="${logDir}/dust-server.log" filePattern="${logDir}/dust-server_%d{yyyy-MM-dd}.log"> <ThresholdFilter level="INFO" onMatch="ACCEPT" onMismatch="DENY"/> <PatternLayout> <Pattern>${pattern}</Pattern> </PatternLayout> <Policies> <TimeBasedTriggeringPolicy interval="1"/> </Policies> <!-- 日志保留策略,配置只保留七天 --> <DefaultRolloverStrategy> <Delete basePath="${logDir}/" maxDepth="1"> <IfFileName glob="dust-server_*.log" /> <IfLastModified age="7d" /> </Delete> </DefaultRolloverStrategy> </RollingFile> </Appenders> </Configuration>
創(chuàng)建測(cè)試類Log4j2Demo
//java項(xiàng)目 fhadmin.cn public class Log4j2Demo { private static final Logger LOGGER=LogManager.getLogger(); public static void main(String[] args) { String username="${java:os}"; LOGGER.info("Hello, {}",username); } }
運(yùn)行結(jié)果
[INFO] Building log4j2-bug-test 1.0-SNAPSHOT
[INFO] --------------------------------[ jar ]---------------------------------
[INFO]?
[INFO] --- exec-maven-plugin:3.0.0:exec (default-cli) @ log4j2-bug-test ---
2021-12-11 11:44:14,654? INFO Log4j2Demo:12 - Hello, Windows 10 10.0, architecture: amd64-64
[INFO] ------------------------------------------------------------------------
[INFO] BUILD SUCCESS
[INFO] ------------------------------------------------------------------------
[INFO] Total time:? 1.140 s
[INFO] Finished at: 2021-12-11T11:44:14+08:00
[INFO] ------------------------------------------------------------------------
在這里面我們可以看到使用${}可以實(shí)現(xiàn)漏洞的注入,假設(shè)username為用戶登錄的輸入框,即可從這個(gè)輸入框進(jìn)行注入,既可查看到一些后臺(tái)系統(tǒng)信息,如果有黑客在使用JNDI編寫惡意代碼注入的話,后果是非常嚴(yán)重的。
3. log4j2 快速修復(fù)措施
修改log4j2版本
據(jù) Apache 官方最新信息顯示,release 頁(yè)面上已經(jīng)更新了 Log4j 2.15.0 版本,主要是那個(gè)log4j-core包,漏洞就是在這個(gè)包里產(chǎn)生的,如果你的程序有用到,盡快緊急升級(jí)(java項(xiàng)目 fhadmin.cn)。
臨時(shí)解決方案
1.設(shè)置jvm參數(shù) “-Dlog4j2.formatMsgNoLookups=true”
2.設(shè)置“l(fā)og4j2.formatMsgNoLookups=True”
3.系統(tǒng)環(huán)境變量“FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS”設(shè)置為“true”
4.關(guān)閉對(duì)應(yīng)應(yīng)用的網(wǎng)絡(luò)外連,禁止主動(dòng)外連
Apache Log4j2 報(bào)核彈級(jí)漏洞快速修復(fù)方法
到此這篇關(guān)于全網(wǎng)最新Log4j 漏洞修復(fù)和臨時(shí)補(bǔ)救方法的文章就介紹到這了,更多相關(guān)Log4j 漏洞修復(fù)內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家!
相關(guān)文章
Java?Stream如何將List分組成Map或LinkedHashMap
這篇文章主要給大家介紹了關(guān)于Java?Stream如何將List分組成Map或LinkedHashMap的相關(guān)資料,stream流是Java8的新特性,極大簡(jiǎn)化了集合的處理操作,文中通過(guò)代碼介紹的非常詳細(xì),需要的朋友可以參考下2023-12-12Java語(yǔ)法糖之個(gè)數(shù)可變的形參的實(shí)現(xiàn)
這篇文章主要介紹了Java語(yǔ)法糖之個(gè)數(shù)可變的形參的實(shí)現(xiàn),文中通過(guò)示例代碼介紹的非常詳細(xì),對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧2020-06-06淺談Java實(shí)現(xiàn)回溯算法之八皇后問(wèn)題
八皇后問(wèn)題是一個(gè)古老而又著名的問(wèn)題,是學(xué)習(xí)回溯算法的一個(gè)經(jīng)典案例。今天我們就一起來(lái)探究一下吧2021-06-06Springboot 2.x中server.servlet.context-path的運(yùn)用詳解
這篇文章主要介紹了Springboot 2.x中server.servlet.context-path的運(yùn)用詳解,文中通過(guò)示例代碼介紹的非常詳細(xì),對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧2021-01-01SpringBoot如何實(shí)現(xiàn)持久化登錄狀態(tài)獲取
這篇文章主要介紹了SpringBoot 如何實(shí)現(xiàn)持久化登錄狀態(tài)獲取,具有很好的參考價(jià)值,希望對(duì)大家有所幫助。如有錯(cuò)誤或未考慮完全的地方,望不吝賜教2021-11-11基于java springboot + mybatis實(shí)現(xiàn)電影售票管理系統(tǒng)
這篇文章主要介紹了基于java springboot + mybatis實(shí)現(xiàn)的完整電影售票管理系統(tǒng)基于java springboot + mybatis,本文給大家介紹的非常詳細(xì),對(duì)大家的學(xué)習(xí)或工作具有一定的參考借鑒價(jià)值,需要的朋友可以參考下2021-08-08【java 多線程】守護(hù)線程與非守護(hù)線程的詳解
這篇文章主要介紹了java守護(hù)線程與非守護(hù)線程,文中通過(guò)示例代碼介紹的非常詳細(xì),對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧2019-04-04IntelliJ?IDEA2022.3?springboot?熱部署含靜態(tài)文件(最新推薦)
這篇文章主要介紹了IntelliJ?IDEA2022.3?springboot?熱部署含靜態(tài)文件,本文結(jié)合實(shí)例代碼給大家介紹的非常詳細(xì),對(duì)大家的學(xué)習(xí)或工作具有一定的參考借鑒價(jià)值,需要的朋友可以參考下2023-01-01IntelliJ IDEA將導(dǎo)入的項(xiàng)目轉(zhuǎn)成maven項(xiàng)目
這篇文章主要介紹了IntelliJ IDEA將導(dǎo)入的項(xiàng)目轉(zhuǎn)成maven項(xiàng)目,文中通過(guò)示例代碼介紹的非常詳細(xì),對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧2020-09-09