百科问答小站 logo
百科问答小站 font logo



今天发布的Apache Log4j2漏洞,对于非IT界的人来说有什么危害呢 ? 第1页

  

user avatar   ama-huangama 网友的相关建议: 
      

昨天晚上一个 Apache Log4j2 的高危漏洞被公开了,这个远程代码执行漏洞堪称史诗级别的漏洞。

Apache Log4j2 这个组件有多少公司在用,这个不用我多说吧,实在是太多了。不知道昨晚有多少程序员半夜起床改代码呢?

漏洞原理官方表述是:Apache Log4j2 中存在JNDI注入漏洞,当程序将用户输入的数据进行日志记录时,即可触发此漏洞,成功利用此漏洞可以在目标服务器上执行任意代码。

通俗简单的说就是:在打印日志的时候,如果你的日志内容中包含关键词 ${,攻击者就能将关键字所包含的内容当作变量来替换成任何攻击命令,并且执行。

漏洞检测方案

1、通过流量监测设备监控是否有相关 DNSLog 域名的请求

2、通过监测相关日志中是否存在“jndi:ldap://”、“jndi:rmi”等字符来发现可能的攻击行为。

漏洞修复方案

Apache 官方已经发布了测试补丁,中招的用户赶紧升级最新的安全版本吧,

补丁下载:Release log4j-2.15.0-rc1 · apache/logging-log4j2

至于对非IT界人士来说,危害:暂时性看不出来,看出来的一般也被扼杀在摇篮里,你要相信安全工程师和运维工程师的能力,不然,你也得相信服务器备份镜像的能力,别总是杞人忧天,工程师已经在瑟瑟发抖修复漏洞中,最惨的还是他们。




  

相关话题

  苹果产品的设计是否提高了全世界对电子产品的品味? 
  如何让两台 PC 进行文件传输? 
  电气工程算不算IT行业? 
  全世界有上千种编程语言,为什么程序员都只学习那几个主流语言? 
  为什么硅谷会诞生于加州?而不是美国东海岸或者其他地区? 
  服务器操作系统选 Debian、Ubuntu 还是 CentOS? 
  中央处理器(CPU)有没有假货? 
  如何看待中国阿里云安全团队在Web服务器软件Apache下的开源日志组件Log4j内发现的巨大漏洞? 
  在业务需求完全一致,技术指标要求不一致时,是否应该为此提供使用不同优化算法的接口? 
  只给:代码和大道理,不给详细Example(或者demo、sample)的教材作者是怎么想的? 

前一个讨论
为什么上海在承担全国大部分境外输入的情况下,还有人不承认上海防疫工作的优秀之处?
下一个讨论
日本汽车为什么能够崛起?





© 2025-03-29 - tinynew.org. All Rights Reserved.
© 2025-03-29 - tinynew.org. 保留所有权利