log4j 漏洞

从源码看Log4j2、FastJson漏洞

Log4j2漏洞简介

Log4j2是一个用于Java应用的日志记录框架，广泛应用于各种Java项目中，近期，Log4j2爆出了一个严重的安全漏洞，攻击者可以通过构造恶意的日志消息来触发这个漏洞，从而在目标服务器上执行任意代码，这个漏洞的影响范围非常广泛，涉及到了几乎所有使用Java开发的应用。

FastJson漏洞简介

FastJson是阿里巴巴开源的一个高性能的JSON处理库，广泛应用于各种Java项目中，近期，FastJson爆出了一个严重的安全漏洞，攻击者可以通过构造恶意的JSON数据来触发这个漏洞，从而在目标服务器上执行任意代码，这个漏洞的影响范围也非常广泛，涉及到了几乎所有使用Java开发的应用。

Log4j2漏洞分析

1、漏洞原理

Log4j2漏洞的原理是通过构造恶意的日志消息来触发JNDI（Java Naming and Directory Interface）注入，JNDI是一种Java命名和目录接口，它提供了一种统一的标准化方法来查找和访问各种命名和目录服务，Log4j2在处理日志消息时，会将日志消息中的变量替换为JNDI引用，然后通过JNDI查找对应的资源，攻击者可以通过构造恶意的日志消息，将JNDI引用替换为恶意的代码片段，从而在目标服务器上执行任意代码。

2、漏洞影响版本

Log4j2漏洞影响的主要是2.x版本的Log4j2，包括2.0、2.1、2.2、2.3、2.4、2.5、2.6、2.7、2.8等版本，目前，官方已经发布了修复漏洞的安全更新，建议受影响的用户尽快升级到最新版本。

FastJson漏洞分析

1、漏洞原理

FastJson漏洞的原理是通过构造恶意的JSON数据来触发反序列化攻击，FastJson在解析JSON数据时，会将JSON数据转换为Java对象，攻击者可以通过构造恶意的JSON数据，将Java对象的类型信息替换为恶意的代码片段，从而在目标服务器上执行任意代码。

2、漏洞影响版本

FastJson漏洞影响的主要是1.x版本的FastJson，包括1.0、1.1、1.2、1.3、1.4等版本，目前，官方已经发布了修复漏洞的安全更新，建议受影响的用户尽快升级到最新版本。

修复建议

1、Log4j2修复建议

（1）升级到最新版本：建议受影响的用户尽快升级到最新的Log4j2版本，以修复漏洞，官方已经发布了修复漏洞的安全更新，用户可以通过官方网站下载并安装更新。

（2）限制JNDI访问：在Log4j2配置文件中，可以设置JNDI查找的限制条件，例如只允许查找特定的JNDI资源，从而降低攻击风险，具体配置如下：

<log4j.configurationFile=log4j2test.xml
log4j.debug=true
log4j.additivity.loggers=false
log4j.loggerFactory=org.apache.logging.log4j.simple.SimpleLoggerFactory
log4j.properties.log4j.threshold=ERROR
log4j.rootLogger=DEBUG, consoleAppender, fileAppender, databaseAppender, emailAppender, smtpAppender, jmsAppender, webserviceAppender, adminAppender, auditAppender, tracerAppender, metricsAppender, sslAppender, authAppender, restApiAppender, oauthAppender, apiGatewayAppender, gatewayAppender, esAppender, kafkaAppender, rabbitMqAppender, redisAppender, mongodbAppender, mqttAppender, snmpAppender, syslogAppender, udpAppender, tcpSocketAppender, httpClientAppender, udpSocketServerAppender, tcpSocketServerAppender, nettySocketServerAppender, nettyUdpServerAppender, nettyTcpServerAppender, nettyHttpServerAppender, nettyWebSocketServerAppender, nettySslServerAppender, nettySslClientAppender, nettyHttpClientAppender, nettyWebSocketClientAppender, nettyTcpClientAppender, nettyUdpClientAppender, nettyTlsClientAppender, nettyTlsServerAppender, nettySocksClientAppender, nettySocksServerAppender, nettyHttpUpgradeHandlerAdapter, nettyHttpRequestUpgradeHandlerAdapter, nettyHttpResponseUpgradeHandlerAdapter, nettyHttpUpgradeCodecFactoryAdapter, nettyHttpUpgradeCodecAdapter, nettyHttpUpgradeFrameCodecAdapter, nettyHttpUpgradeFrameCodecFactoryAdapter, nettyHttpUpgradeFrameCodecFactoryAdapterImpl, nettyHttpUpgradeFrameCodecFactoryImpl, nettyHttpUpgradeFrameCodecImpl, nettyHttpUpgradeFrameCodecImplV1Adapter, nettyHttpUpgradeFrameCodecImplV1AdapterImpl, nettyHttpUpgradeFrameCodecImplV1AdapterImplV1AdapterImpl, nettyHttpUpgradeFrameCodecImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1AdapterImplV1Adapt