Log4J简介

 

Log日志:主要用于记录程序运行的情况,以便于程序在部署之后的排错调试等等!也有利于将这些信息进行持久化(如果不将日志信息保存到文件或数据库,则信息便会丢失)

 

Java Logging API

JDK1.4版本以上才能支持。

java.util.logging.* 包是JDK的日志记录API

基本概念

l       logger – 用来记录日志的对象

l       log level – 日志等级:从FINESTSEVERE级别

n         请参考JDK文档

l       handler – 日志输出处理器,即用来将格式化后的日志信息输出,J2SE提供了下面的处理器

n         StreamHandler – 将信息输出到一个OutputStream对象

n         ConsoleHandler – 将信息输出到控制台

n         FileHandler – 将信息输出到文件

n         还有Socket处理器和内存处理器等

l       Formater – 用来对日志信息进行格式化

n         SimpleFormater – 简单的格式化输出

n         XmlFormater – Xml格式化输出

l       logManager – 日志管理器,它包含有那些被命名的logger,以及从配置文件中读取来的一些控制信息

 

Log4j

基本概念

Log4jJDK Logging更加成熟。Log4j是事实上 日志记录标准。

三大概念:logger/appender/layout

l       logger – 使用这个对象来进行输出

l       appender – 使用这个对象来定义输出到哪里去

l       layout – 使用这个对象来定义输出的格式

 

log4j的级别(level)

DEBUG < INFO < WARN < ERROR < FATAL

 

基本配置与使用

只需要将log4j.jar包放到类路径中,并且保证在类路径根目录下有一个log4j.properties文件即可。Log4j.properties文件是对log4j的配置。

 

log4j.properties中,可以配置logger/appender/layout/level等内容。

 

l       了解如何配置logger

n         log4j.rootLogger = [级别],[使用哪个appender]

n         log4j.logger.[logger的名称]=[级别],[使用哪个appender]

l       了解如何配置appender

n         Log4j.appender.[appender的名称]=[appender类名]

n         Log4j.appender.[appender的名称].[appender的属性名]=[appender的属性值]

u       如:对于ConsoleAppender来说,可以配置它的target属性为System.out,而对于FileAppender来说,可以配置它的File属性为一个文件名

l       了解如何配置layout

n         Log4j.appender.[appender的名称].layout=[layout类名]

n         Log4j.appender.[appender的名称].layout.[layout的属性名]=[layout的属性值]

n         最常见的是PatternLayout

u       Log4J采用类似C语言中的printf函数的打印格式格式化日志信息,打印参数见表1如下:
%m
输出代码中指定的消息
%p
输出优先级,即DEBUGINFOWARNERRORFATAL
%r
输出自应用启动到输出该log信息耗费的毫秒数

%c
输出所属的类目,通常就是所在类的全名
%t
输出产生该日志事件的线程名
%n
输出一个回车换行符,Windows平台为“/r/n”Unix平台为“/n”
%d
输出日志时间点的日期或时间,默认格式为ISO8601,也可以在其后指定格式,比如:%d{yyy MMM dd HH:mm:ss,SSS},输出类似: 2002 10 18 221028
921
%l
输出日志事件的发生位置,包括类目名、发生的线程,以及在代码中的行数。举例:Testlog4.main(TestLog4.java:10)

 

Commons log

通用Log处理,它是一个接口抽象,底层的实现可以自动替换:

 

如果当前存在log4j,则使用log4j来实现

否则,使用JDK LOG来实现

否则,使用其自身的简单实现

 

### BUUCTF ACTF2020 新生 Include 1 解题报告 #### 题目背景与目标 BUUCTF中的ACTF2020新生题目Include 1涉及到了PHP文件包含漏洞的利用。通过分析给定的信息,可以推测出该题目旨在考察参者对于PHP文件包含漏洞的理解以及如何有效利用此类漏洞获取敏感信息。 #### 文件包含漏洞概述 PHP文件包含漏洞是指攻击者可以通过控制输入参数来指定要加载的文件路径,从而实现远程文件读取或执行恶意代码的目的。这种类型的漏洞通常发生在开发者未对用户提交的数据进行严格过滤的情况下[^1]。 #### 利用过程解析 针对这道题目,主要关注点在于`include()`函数的行为及其潜在的安全风险: - **本地文件包含(LFI)**:如果程序允许用户自定义文件名并直接将其作为参数传递给`include()`,那么就可能存在LFI的风险。 - **远程文件包含(RFI)**:当服务器配置不当(如allow_url_include设置为On),则可能允许外部URL被当作合法资源引入,进而造成更严重的后果。 为了成功解决这个问题,选手需要找到一种方法绕过任何现有的防护措施,并最终访问到含有flag信息的目标文件。考虑到实际环境中的防御机制,这里的关键可能是寻找合适的payload组合以突破限制条件。 #### 实际操作建议 基于上述理论基础,在具体实施过程中可尝试如下策略: 1. 测试不同形式的文件路径(绝对/相对),观察响应差异; 2. 尝试使用伪协议(`php://filter`)转换数据流,改变文件内容呈现方式; 3. 结合其他已知技巧(如目录遍历字符%00截断等)进一步探索可能性。 值得注意的是,虽然题目描述中并未提及具体的防护手段,但在真实场景下往往还会遇到诸如黑名单过滤、白名单验证之类的障碍。因此,灵活运用各种技术细节将是解决问题的关键所在。 ```php // 示例 Payload (仅作学习交流用途) http://example.com/vuln.php?page=php://filter/read=convert.base64-encode/resource=config.inc.php ``` #### 总结 通过对BUUCTF ACTF2020新生题目Include 1的研究可以看出,掌握常见Web安全漏洞的工作原理及其对应的缓解方案是非常重要的。同时也要注意遵循道德准则,在合法授权范围内开展渗透测试活动。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值