Log4j 史诗级漏洞，大厂都中招了！
大家好，我是D哥
点击关注下方公众号，Java面试资料都在这里
昨天晚上一个 Apache Log4j2 的高危漏洞被公开了，这个远程代码执行漏洞堪称史诗级别的漏洞。
Apache Log4j2 这个组件有多少公司在用，这个不用我多说吧，实在是太多了。不知道昨晚有多少程序员半夜起床改代码呢？
漏洞原理官方表述是：Apache Log4j2 中存在JNDI注入漏洞，当程序将用户输入的数据进行日志记录时，即可触发此漏洞，成功利用此漏洞可以在目标服务器上执行任意代码。
通俗简单的说就是：在打印日志的时候，如果你的日志内容中包含关键词 ${，攻击者就能将关键字所包含的内容当作变量来替换成任何攻击命令，并且执行。
# 漏洞检测方案
1、通过流量监测设备监控是否有相关 DNSLog 域名的请求
2、通过监测相关日志中是否存在“jndi:ldap://”、“jndi:rmi”等字符来发现可能的攻击行为。
# 漏洞修复方案
Apache 官方已经发布了测试补丁，中招的用户赶紧升级最新的安全版本吧，
补丁下载：https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc1
遇到这种波及范围很广的漏洞，对于白帽子来说简直就是过年了。批量刷漏洞、批量提交漏洞，甲方 SRC 老板们赶紧交米，这一波下来够吃半年～～
圈内已经传出来了，下一个养活安全工程师的洞就是 log4j ！
可是就在大家准备提交漏洞的时候，突然发现这漏洞人家不收了！
想想也是，这漏洞已经公开了，再让大家这么提交岂不是浪费自己的预算么。
D哥也了一个技术群，主要针对一些新的技术和开源项目值不值得去研究和IDEA使用的“骚操作”，有兴趣入群的同学，可以长扫描区域二维码，一定要注意事项：城市+昵称+技术方向，根据格式备注，可快速通过。
▲长按扫描