关键词：
👇👇关注后回复 “进群” ，拉你进程序员交流群👇👇
来源丨51CTO技术栈
https://mp.weixin.qq.com/s/ksowQzNW009V9J3AHnOIIg
近日，一众开发和维护人员正马不停蹄地开始修补 Log4j2 漏洞，但要真正修复完毕，还有很多工作要做。
最近几天，各家互联网大厂的程序员朋友们，都快被 Log4j2 漏洞折磨疯了，纷纷启动自家软件的漏洞修复。今天早上，阿里云被爆出作为工信部网络安全威胁信息共享合作平台，阿里云在发现该漏洞时并未及时向工信部汇报，所以被暂停合作 6 个月。在暂停期满后，根据阿里云的实际整改情况研究是否恢复合作。
该漏洞最早被爆出是在 12 月 10 日凌晨。12 月 10 日凌晨，Apache 开源项目 Log4j 的远程代码执行漏洞细节被公开，由于 Log4j 的广泛使用，该漏洞一旦被攻击者利用会造成严重危害。
随着漏洞爆出，各家大厂纷纷发布公告，斗鱼、京东、网易、深信服和汽车产业安全应急响应中心皆发文表示，鉴于该漏洞影响范围比较大，业务自查及升级修复需要一定时间，暂不接收 Log4j2 相关的远程代码执行漏洞。
那么这个漏洞到底是什么？怎么会让各大厂连夜整合修复，下场发布公告？为什么波及范围会这么广泛？
1、Log4j 是什么？
Log4j （ Log For Java ）是 Java 开源日志框架，它在用 Java 敲代码的码农群体里可以说是无人不知，无人不晓。
众所周知，程序员写完代码之后并不会对代码进行马上使用，而是进行一系列的测试来确定代码是否可行。
但是代码在进行测试的时候是黑盒测试状态，你根本不知道代码在测试的过程中哪里出了问题。所以这个时候，日志的价值就体现出来了，它就好像一张演算稿纸，你可以在上面进行自己能看得懂的标记，方便随时进行检验测算。
而 Log4j ，就是这样一个开源的日志框架，它记录了代码在测试过程中的每一步，在代码测试跑完的时候，就可以有针对性地进行修改，效率也更高。它里面整合了不少在修改代码时会用到的常用功能，比如日志管理、输出变量等实用功能。
事实上，日志是程序员们经常使用的一个工具，就像早年的英雄联盟盒子一样，虽然不用也可以打游戏，但是用了之后我可以更方便地打游戏，所以，为什么不用呢？
2、Log4j2 漏洞是怎么造成的？
Log4j2 是一个开源项目，仅有几个人进行维护。2014 年，Log4j2 发布，它对 Log4j 进行了重大升级，完全重写了 Log4j 的日志实现。Log4j2 提供了 Logback 中可用的许多改进，同时修复了 Logback 架构中的一些固有问题，目前已经更新到 2.17.0 版本。
最先发现漏洞的，是阿里云安全团队中一位大佬。据他的说法，这个漏洞很早就被国外的安全代码扫描平台扫出来了，圈内的程序员大佬们也都在等待官方的修复，没有声张。
该漏洞是由 Log4j2 提供的 Lookup 功能造成的。从字面上理解，这个功能就是一个用来搜索内容的接口，Log4j2 也在 Lookup 的功能下，提供了不少实现的途径，问题就出在这个叫 JNDI 的途径上。
JNDI 被 Java 允许通过远程连接的方式来加载文件，这个远程地址可以是开发者自己的服务器，也可以是外界的服务器。黑客只要通过 JNDI 的方法连接上自己的恶意服务器，就可以堂而皇之从这个接口进来，进而在程序内部为所欲为。
最可怕的地方在于实现起来没什么门槛，只要用一串简单的字符，就能轻易攻破服务器，并在上面运行各种代码。这别说是窃取个人信息了，黑客想要远程挟持、瘫痪企业级的服务器，那也是毫无阻碍。
这个漏洞有多夸张？不仅包括了阿里、腾讯、百度、网易、新浪等一众国内的互联网大厂纷纷中枪，就连手机，耳机，汽车等硬件都有可能中招……
对于这次漏洞，有网友评价说道，“可以说是灾难性的漏洞，比之前的 fastjson 和 shiro 还要严重，这个漏洞估计在之后三四年内还会继续存在…”
3、紧急修复方案
针对此次漏洞，给大家分享一些网上的紧急方案：
紧急缓解措施
(1)修改 jvm 参数
-DLog4j2.formatMsgNoLookups=true
(2)修改配置 Log4j2.formatMsgNoLookups=True
(3)将系统环境变量 FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS 设置为 true
建立防火墙
目前，大部分公司的应急方案是建立防火墙。在 Log4j2 做一个触发式的拦截程序，把与漏洞相关内容，提前进行阻拦。
版本更新
检查所有使用了 Log4j2 组件的系统，并且进行更新修复。官方目前对漏洞进行了积极修复，版本更新到 2.17。
4、结语
由于 Log4j2 漏洞不仅影响 Java 应用程序，还影响使用该功能的任何服务，所以该漏洞的影响范围非常的广泛。虽然维护人员正在评估该漏洞的危害范围，但是由于该插件非常受欢迎，被数百万企业应用程序和服务所使用，所以目前无法对影响范围做出具体的评估。
每个人都知道安全的重要性，安全本身并不是一个能够创造价值的功能，反而更像是需要消耗价值以确保功能稳定的功能。网络攻击成功的可能性以及潜在损失的程度是难以预估的，虽然好多人正在通过漏洞修补方式来解决问题，但该漏洞带来的影响可能会持续三四年之久。
-End-
最近有一些小伙伴，让我帮忙找一些 面试题 资料，于是我翻遍了收藏的 5T 资料后，汇总整理出来，可以说是程序员面试必备！所有资料都整理到网盘了，欢迎下载！
点击👆卡片，关注后回复【面试题】即可获取
在看点这里
好文分享给更多人↓↓
阿里云因发现log4j2核弹级漏洞，未及时上报，被工信部处罚。。
...源日志框架，被广泛用于业务系统开发。近日，阿里云计算有限公司发现阿帕奇Log4j2组件存在远程代码执行漏洞，并将漏洞情况告知阿帕奇软件基金会。12月9日，工业和信息化部网络安全威胁和漏洞信息共享平台... 查看详情
阿里云因发现log4j2核弹级漏洞，未及时上报，被工信部处罚。。
...源日志框架，被广泛用于业务系统开发。近日，阿里云计算有限公司发现阿帕奇Log4j2组件存在远程代码执行漏洞，并将漏洞情况告知阿帕奇软件基金会。12月9日，工业和信息化部网络安全威胁和漏洞信息共享平台... 查看详情
阿里云因发现log4j2漏洞未及时上报，被工信部处罚！(代码片段)
...了，纷纷启动自家软件的漏洞修复。今天早上，阿里云被爆出作为工信部网络安全威胁信息共享合作平台，阿里云在发现该漏洞时并未及时向工信部汇报，所以被暂停合作6个月。在暂停期满后，根据阿里云的... 查看详情
阿里云因未及时报告严重漏洞被处罚
参考技术A阿里云因未及时报告严重漏洞被处罚 阿里云因未及时报告严重漏洞被处罚，阿里云在中国云市场上占据着重要地位，阿里云在2021年第三季度以38.3%的份额领先中国大陆市场，阿里云因未及时报告严重漏洞被处罚。... 查看详情
阿里又出事了！发现网络安全漏洞，不上报工信部，却通知外国机构
参考技术A突发！工信部宣布暂停与阿里云信息共享平台合作。这是怎么回事？阿里云犯了什么事？要了解这些疑问，首先我们要知道阿帕奇Log4j2组件。据悉，阿帕奇Log4j2组件是基于Java语言的开源日志框架，被广泛用于业务系统... 查看详情
网传的spring大漏洞(代码片段)
...到朋友提醒说可能发这个会违规（原因可参考：阿里云因发现Log4j2核弹级漏洞但未及时上报，被工信部处罚），所以就删除了。经过一天的时间，似乎这个事情变得有点看不懂了。所以下面聊聊这个网传的... 查看详情
网传的spring大漏洞(代码片段)
...到朋友提醒说可能发这个会违规（原因可参考：阿里云因发现Log4j2核弹级漏洞但未及时上报，被工信部处罚），所以就删除了。经过一天的时间，似乎这个事情变得有点看不懂了。所以下面聊聊这个网传的... 查看详情
阿里云出事了，被工信部处罚，它真不冤，但也别慌
...一起探索精神与财务自由之路。大家好，我是校长。阿里云公司发现阿帕奇（Apache）Log4j2组件严重安全漏洞隐患后，未及时向电信主管部门报告，未有效支撑工信部开展网络安全威胁和漏洞管理。经研究，... 查看详情
发现log4j2漏洞的程序员绩效该打3.75还是3.25？(代码片段)
...到了两个新闻，一个是Log4j2的漏洞事件，一个是阿里云被工信部暂停合作六个月。这两个事件的关联是因为工信部 查看详情
导致阿里云被暂停合作的漏洞究竟是什么？
因发现安全漏洞后的处理问题，近日阿里云引发了一波舆论。据媒体报道，11月24日，阿里云安全团队向美国开源社区Apache（阿帕奇）报告了其所开发的组件存在安全漏洞。12月22日，因发现ApacheLog4j2组件严... 查看详情
谈谈阿里log4j2事件：严重性是个主观判断
吾了解的是：阿里有人发现了log4j2漏洞（ＢＵＧ)，没有及时上报（上报了源码，没有上报国家机关？，具体不了解），被工信部处罚了。引起了业界关注。 在上个博文中ÿ... 查看详情
谈谈阿里log4j2事件：严重性是个主观判断
吾了解的是：阿里有人发现了log4j2漏洞（ＢＵＧ)，没有及时上报（上报了源码，没有上报国家机关？，具体不了解），被工信部处罚了。引起了业界关注。 在上个博文中ÿ... 查看详情
谈谈阿里log4j2事件：严重性是个主观判断
吾了解的是：阿里有人发现了log4j2漏洞（ＢＵＧ)，没有及时上报（上报了源码，没有上报国家机关？，具体不了解），被工信部处罚了。引起了业界关注。 在上个博文中ÿ... 查看详情
android审核：用户授权前获取mac地址，imei等用户敏感信息的方法（工信部要下架app）加固信息(代码片段)
...包我们确认没用在弹出隐私条款前，发送类似的接口上报敏感信息，后和工信部电话沟通确认是只要你有调用getMacAddress此方法& 查看详情
工信部出手整顿，阿里表示：我先服。。。
该来的终究要来！1无比清爽！不知道从什么时候开始，大家都默认在手机上打开APP时，弹出一个几秒钟的广告。刚开始可能是1秒，后来变成3秒，现在5秒的启动广告也很常见，有很多甚至到了10秒！... 查看详情
关于工信部2017年全面域名实名认证要求通知（腾讯云）
...册申请者应提交真实、准确、完整的域名注册信息。按照工信部2017年全面域名实名认证的要求，目前腾讯云已接到相关注册局通知，若您的域名在规定时间内未通过实名审核，注册局将暂停解析（Serverhold），无法正常访问。待... 查看详情
工信部推进解除网链屏蔽，微信互联网要终结了？
...蔽，否则将依法采取处置措施。当天参会的企业包括阿里巴巴、腾讯、字节跳动、百度、华为、小米、陌陌、360、网易等。 查看详情
易保全上线“工信部查询”新功能，用户可在工信部直接查询存证数据
近日，易保全官网上线了“工信部查询”新功能，用户在易保全进行区块链存证、电子签约、知识产权保护的数据，都可在工信部-工业互联网标识解析平台直接查询，提高数据的公信力。工信部在线查询，“... 查看详情