log4j2漏洞分析，解决方案

于2021年12月10日，工业和信息化部网络安全威胁和漏洞信息共享平台收到有关网络安全专业机构报告，apache Log4j组件存在严重安全漏洞。全球大约70%的企业和网站将会受到此漏洞的影响，受到攻击，且此漏洞触发频繁、攻击难度低，因此log4j被媒体称为核弹级别漏洞

攻击原理

log4j是Apache的一个基于java的日志记录组件，log4j2是Apache的一个重构，引入了丰富功能，广泛用于记录程序输出日志信息。

Apache Log4j2中采用了LDAP的简单目录服务结构进行日志的查询。在查询时，通过jndi注入漏洞，攻击者可直接构造恶意请求，触发远程代码执行漏洞。简言之，黑客通过jndi注入在无授权情况下直接控制你的电脑（一般为服务器居多）。使之直接成为肉鸡，进而可搭建僵尸网络，分布式ddos攻击

漏洞危害

Log4j的各版本已经覆盖绝大多数企业应用和知名网站。已经成为广泛依赖组件，因此IT行业从业人员的排查带了不小困难，从github上看，官方也对此次漏洞措手不及
基于java版的Minecraft大多服务器也因此，连夜停运，进行漏洞修复