log4j漏洞学习笔记

JNDI注入攻击：java name directory interface:提供通用的接口去调用不同的服务。

SPI机制：server provider interface。

黑客搭建NS服务器，然后发送指令给服务器。

服务器会请求黑客的机器，黑客的机器指令会执行别的请求。

存在风险的core包，进行递归的解析和lookup查找，本身log4j也解耦了，还有api包。

lookup有很多实现类，有一个jndi的方式。

ladp:Lightweight Directory Access Protocol 轻量级目录访问协议

升级的话，主要做了三点：

• 默认不再支持二级跳转，也就是命名引用的方式获取对象；
• 只有站在log4j2.allowedclass中的指定的对象才能获取；
• 只有远程地址是本地地址或者在log4j2.allowedHost中的地址才能获取。

备注：

• idea可以看maven依赖路径图，
• es 中也有，排掉，升级了。