ApacheLog4j是Java开发人员流行的开源日志库，最近遇到了一个与安全相关的大规模漏洞。由于它的普及，许多组织都受到了这一漏洞的影响。有关最新消息，请参阅网站关于特定的问题和补丁。这里是另一篇详细解释核心问题的文章。
Log4j版本2.x中发现的安全问题列表：- CVE-2017-5645ApacheLog4j套接字接收器反序列化漏洞(严重性-中度)CVE-2020-9488：Apache Log4j SMTP Appder中存在主机不匹配的证书验证不当(严重性-低)CVE-2021-44228：ApacheLog4j2 JNDI功能不保护不受攻击者控制的LDAP和其他与JNDI相关的端点(严重程度-关键)。CVE-2021-45046：ApacheLog4j2线程上下文查找模式易受某些非默认配置中远程代码执行的影响(严重程度-关键)CVE-2021-45105：ApacheLog4j2在查找计算中并不总是防止无限递归(严重程度关键)。CVE-2021-44832：当攻击者控制配置(严重性-中度)时，ApacheLog4j2通过JDBC Appder易受RCE攻击。
ApacheLog4j可以直接出现在项目中，也可以是依赖项的依赖项。因此，最好使用构建工具(如Maven或Gradle)快速扫描同一棵树，如下所示：
Maven：
mvn dependency:tree -Dincludes=org.apache.logging.log4j
梯度：
.gradlew dependencies --configuration=testRuntimeClasspath | find "log4j"
或者，您也可以使用如下所示的开放源码工具Log4j扫描仪但这做了一次蛮力检查。需要注意的是，并不是所有的log4j.jars都是易受攻击的，特别是如果您使用的是更新版本的库(请参见#3)
2.加强安全测试和监测因为安全是一个持续的过程，攻击者总是在寻找任何类型的漏洞。因此，不仅要遵循安全编码最佳实践，而且还要定期测试攻击，以确保应用程序和体系结构是安全的。当安全测试失败时，拥有一个像警报一样简单的监视系统也是至关重要的。
用于检测Log4j错误的工具：
亨特Log4Shell漏洞测试工具：
您只需复制并粘贴生成的JNDI语法(代码块)。${jndi[:]ldap[:]//....应用程序输入框、前端站点表单字段、登录(如用户名输入)，或者如果您是更技术性的，甚至是用户代理或X转发-for或其他可自定义的HTTP报头。
logger.error("${jndi:ldap://log4shell.huntress.com:1389/}");
添加微信号领取Java高级进阶学习资料：leftbaby999
添加备注暗号【222】 记得一定要备注暗号【222】不然领不到资料
检查结果页查看是否接收到任何连接，并在测试任何服务时验证检测到的IP地址和时间戳。如果您看到一个条目，就会建立一个连接，并且您所测试的应用程序很容易受到攻击。 通过运行以下命令测试应用程序是否已经受到攻击：
Https://gist.github.com/Neo23x0/e4c8b03ff8cdf1fa63b7d15db6e3860b或使用
以下操作Python工具.
3.更新Log4j 2.x库如果您正在使用ApacheLog4j库，请确保更新到最新版本，因为上面列出的安全漏洞已经修补好了。这是目前最好的衡量标准。
升级到Log4j2.3.2(Java 6)、2.12.4(Java 7)或2.17.1或最新版本(Java 8及更高版本)。
4.设置Web应用程序防火墙(WAF)Web应用程序防火墙通过将请求数据与一组预编译规则进行比较，扫描每个传入请求，以查找错误的迹象，如远程代码执行。Java有开源的WAF，如果您在云中托管应用程序，请检查云供应商提供的WAF，并确保它是最新的。
按照上面的步骤，您可以安心地睡觉，知道您的应用程序目前是安全的。
