Log4j 史詩(shī)級(jí)漏洞,大廠都中招了描扯!

推薦:花了2萬(wàn)多買(mǎi)的Java架構(gòu)師課程全套定页,現(xiàn)在分享給大家,從軟件安裝到底層源碼(Java高級(jí)互聯(lián)網(wǎng)架構(gòu)師VIP教程)

昨天晚上一個(gè) Apache Log4j2 的高危漏洞被公開(kāi)了绽诚,這個(gè)遠(yuǎn)程代碼執(zhí)行漏洞堪稱(chēng)史詩(shī)級(jí)別的漏洞典徊。

Apache Log4j2 這個(gè)組件有多少公司在用,這個(gè)不用我多說(shuō)吧恩够,實(shí)在是太多了卒落。不知道昨晚有多少程序員半夜起床改代碼呢?

漏洞原理官方表述是:Apache Log4j2 中存在JNDI注入漏洞蜂桶,當(dāng)程序?qū)⒂脩糨斎氲臄?shù)據(jù)進(jìn)行日志記錄時(shí)儡毕,即可觸發(fā)此漏洞,成功利用此漏洞可以在目標(biāo)服務(wù)器上執(zhí)行任意代碼扑媚。

通俗簡(jiǎn)單的說(shuō)就是:在打印日志的時(shí)候腰湾,如果你的日志內(nèi)容中包含關(guān)鍵詞 ${,攻擊者就能將關(guān)鍵字所包含的內(nèi)容當(dāng)作變量來(lái)替換成任何攻擊命令疆股,并且執(zhí)行费坊。

漏洞檢測(cè)方案

1、通過(guò)流量監(jiān)測(cè)設(shè)備監(jiān)控是否有相關(guān) DNSLog 域名的請(qǐng)求

2旬痹、通過(guò)監(jiān)測(cè)相關(guān)日志中是否存在“jndi:ldap://”附井、“jndi:rmi”等字符來(lái)發(fā)現(xiàn)可能的攻擊行為。

漏洞修復(fù)方案

Apache 官方已經(jīng)發(fā)布了測(cè)試補(bǔ)丁两残,中招的用戶趕緊升級(jí)最新的安全版本吧永毅,

補(bǔ)丁下載:https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc1

遇到這種波及范圍很廣的漏洞,對(duì)于白帽子來(lái)說(shuō)簡(jiǎn)直就是過(guò)年了人弓。批量刷漏洞卷雕、批量提交漏洞,甲方 SRC 老板們趕緊交米票从,這一波下來(lái)夠吃半年~~

圈內(nèi)已經(jīng)傳出來(lái)了漫雕,下一個(gè)養(yǎng)活安全工程師的洞就是 log4j !

可是就在大家準(zhǔn)備提交漏洞的時(shí)候峰鄙,突然發(fā)現(xiàn)這漏洞人家不收了浸间!

想想也是,這漏洞已經(jīng)公開(kāi)了吟榴,再讓大家這么提交豈不是浪費(fèi)自己的預(yù)算么魁蒜。

?著作權(quán)歸作者所有,轉(zhuǎn)載或內(nèi)容合作請(qǐng)聯(lián)系作者
  • 序言:七十年代末,一起剝皮案震驚了整個(gè)濱河市,隨后出現(xiàn)的幾起案子兜看,更是在濱河造成了極大的恐慌锥咸,老刑警劉巖,帶你破解...
    沈念sama閱讀 211,639評(píng)論 6 492
  • 序言:濱河連續(xù)發(fā)生了三起死亡事件细移,死亡現(xiàn)場(chǎng)離奇詭異搏予,居然都是意外死亡,警方通過(guò)查閱死者的電腦和手機(jī)弧轧,發(fā)現(xiàn)死者居然都...
    沈念sama閱讀 90,277評(píng)論 3 385
  • 文/潘曉璐 我一進(jìn)店門(mén)雪侥,熙熙樓的掌柜王于貴愁眉苦臉地迎上來(lái),“玉大人精绎,你說(shuō)我怎么就攤上這事速缨。” “怎么了代乃?”我有些...
    開(kāi)封第一講書(shū)人閱讀 157,221評(píng)論 0 348
  • 文/不壞的土叔 我叫張陵旬牲,是天一觀的道長(zhǎng)。 經(jīng)常有香客問(wèn)我搁吓,道長(zhǎng)原茅,這世上最難降的妖魔是什么? 我笑而不...
    開(kāi)封第一講書(shū)人閱讀 56,474評(píng)論 1 283
  • 正文 為了忘掉前任擎浴,我火速辦了婚禮员咽,結(jié)果婚禮上毒涧,老公的妹妹穿的比我還像新娘贮预。我一直安慰自己,他們只是感情好契讲,可當(dāng)我...
    茶點(diǎn)故事閱讀 65,570評(píng)論 6 386
  • 文/花漫 我一把揭開(kāi)白布仿吞。 她就那樣靜靜地躺著,像睡著了一般捡偏。 火紅的嫁衣襯著肌膚如雪唤冈。 梳的紋絲不亂的頭發(fā)上,一...
    開(kāi)封第一講書(shū)人閱讀 49,816評(píng)論 1 290
  • 那天银伟,我揣著相機(jī)與錄音你虹,去河邊找鬼。 笑死彤避,一個(gè)胖子當(dāng)著我的面吹牛,可吹牛的內(nèi)容都是我干的。 我是一名探鬼主播十嘿,決...
    沈念sama閱讀 38,957評(píng)論 3 408
  • 文/蒼蘭香墨 我猛地睜開(kāi)眼姐直,長(zhǎng)吁一口氣:“原來(lái)是場(chǎng)噩夢(mèng)啊……” “哼!你這毒婦竟也來(lái)了?” 一聲冷哼從身側(cè)響起卒暂,我...
    開(kāi)封第一講書(shū)人閱讀 37,718評(píng)論 0 266
  • 序言:老撾萬(wàn)榮一對(duì)情侶失蹤啄栓,失蹤者是張志新(化名)和其女友劉穎,沒(méi)想到半個(gè)月后也祠,有當(dāng)?shù)厝嗽跇?shù)林里發(fā)現(xiàn)了一具尸體昙楚,經(jīng)...
    沈念sama閱讀 44,176評(píng)論 1 303
  • 正文 獨(dú)居荒郊野嶺守林人離奇死亡,尸身上長(zhǎng)有42處帶血的膿包…… 初始之章·張勛 以下內(nèi)容為張勛視角 年9月15日...
    茶點(diǎn)故事閱讀 36,511評(píng)論 2 327
  • 正文 我和宋清朗相戀三年齿坷,在試婚紗的時(shí)候發(fā)現(xiàn)自己被綠了桂肌。 大學(xué)時(shí)的朋友給我發(fā)了我未婚夫和他白月光在一起吃飯的照片。...
    茶點(diǎn)故事閱讀 38,646評(píng)論 1 340
  • 序言:一個(gè)原本活蹦亂跳的男人離奇死亡永淌,死狀恐怖崎场,靈堂內(nèi)的尸體忽然破棺而出,到底是詐尸還是另有隱情遂蛀,我是刑警寧澤谭跨,帶...
    沈念sama閱讀 34,322評(píng)論 4 330
  • 正文 年R本政府宣布,位于F島的核電站李滴,受9級(jí)特大地震影響螃宙,放射性物質(zhì)發(fā)生泄漏。R本人自食惡果不足惜所坯,卻給世界環(huán)境...
    茶點(diǎn)故事閱讀 39,934評(píng)論 3 313
  • 文/蒙蒙 一谆扎、第九天 我趴在偏房一處隱蔽的房頂上張望。 院中可真熱鬧芹助,春花似錦堂湖、人聲如沸。這莊子的主人今日做“春日...
    開(kāi)封第一講書(shū)人閱讀 30,755評(píng)論 0 21
  • 文/蒼蘭香墨 我抬頭看了看天上的太陽(yáng)。三九已至蒙谓,卻和暖如春斥季,著一層夾襖步出監(jiān)牢的瞬間,已是汗流浹背累驮。 一陣腳步聲響...
    開(kāi)封第一講書(shū)人閱讀 31,987評(píng)論 1 266
  • 我被黑心中介騙來(lái)泰國(guó)打工酣倾, 沒(méi)想到剛下飛機(jī)就差點(diǎn)兒被人妖公主榨干…… 1. 我叫王不留,地道東北人谤专。 一個(gè)月前我還...
    沈念sama閱讀 46,358評(píng)論 2 360
  • 正文 我出身青樓躁锡,卻偏偏與公主長(zhǎng)得像,于是被迫代替她去往敵國(guó)和親毒租。 傳聞我的和親對(duì)象是個(gè)殘疾皇子稚铣,可洞房花燭夜當(dāng)晚...
    茶點(diǎn)故事閱讀 43,514評(píng)論 2 348

推薦閱讀更多精彩內(nèi)容