针对 log4j 此次漏洞，应该引起我们哪些警示？利用工具的同时我们是不是应该更注重基础原理？ 第1页

一个日志工具老老实实记录日志就行了，为什么要加载远程代码？

keep it simple, stupid!

1写日志不应该有远程执行代码的功能。

2如果某个第三方真想要这个高级功能，应该给写日志的函数，增加参数，或者再写一个函数，以区别。而不是给原函数直接增加代码。

3写日志有远程执行的功能，要写在说明文档的显耀位置，让调用者明白。

4这么看似弱智的bug，难道加这个功能的人真没想到?

5一个日志库，十几万代码。是没法看源代码的。

这是导致这个漏洞发生的，2013年的一次commit。

一个看起来很不错的需求，通过JNDI查询，记一条日志就把web服务上下文上所有的日志都拉下来？

然而，对于JNDI的URL、返回的LDAP数据等，却一点过滤都没有。因此可以构造恶意LDAP服务器响应，让运行log4j2的机子直接运行可引用的外部恶意类，也就是直接从外网URL，把恶意.class文件拉进来跑了。

看看log4j2官方怎么修复这次这个漏洞的吧。

这套补丁对log4j2的表达式查询JNDI插件添加了过滤特定协议、服务器、类的功能，默认只允许通过其对Integer、String之类的内置类型进行反序列化，只允许ldap、ldaps和java协议，只允许访问127.0.0.1、localhost和本机IP。

最后一条可以说基本把原来这个插件的功能给废了。

当初是谁commit了那个韩国名字的人的的patch的？

Ralph Goers可能当时根本就没考虑到这玩意还能这么用，以为用途真就只是用来从外部读一些数据这么简单，测试了一下就给commit了。没想到搞成了Shellshock、Heartbleed这种“互联网基础设施级别”的大漏洞。

一般人用log4j2只是记录个日志文件这么简单，连表达式查询功能都不会用，也用不上。但是这个功能是默认开启的，而且又默认开启了这么大一个漏洞出来。

这有时候也不能怪我们——很多时候软件中一个不起眼的功能只是为满足少数几个人的特殊需求去做的，可能时过境迁之后，当年开发这个功能的人都不活跃了，所有人都忘记了这个功能。

我们下游用户一般只管使用自己需要的功能，别说对上游的库进行完整测试了，甚至连配置都懒得去配置它，只管用。

这种用户一般用不上，开发者也容易忽视的小功能，如果不出这种大问题，就根本找不到谁能站出来负责。可能稳妥的办法是把这种小众功能模块改为白名单制，默认为不开启，出了问题损失能减少点吧。。

记得之前有个段子，说发明C语言的哥们，编写了一个Unix系统。使用系统的同事发现，无论自己怎么改密码、排查源代码漏洞，这哥们都能进去。

后来发现，哥们的后门开在C编译器里。

现在的系统，代码都以十万行记。一个十人年规模的系统，谁来检查安全漏洞？怎么查？

更不用说解释器、编译器和嵌在硬件里的漏洞。

很多人觉得人家都开源了，这怎么封锁我们？

太天真了。

开源代码不停地升级，你跟不跟？

天知道那个版本里就有0级漏洞。

你武装到家的系统，和没锁门的房间一样来去自如。

别看网上吵java和c谁优秀，能冒出一万个程序员。

真的能从以十万行记的代码里找到漏洞的人，全国也不到三位数。

这个漏洞影响太大，放在网络战术库里，谁都没底。

所以才叫核弹级漏洞。

战术级漏洞，太多了。

被大众所知的是少数。

一个日志框架，不想着做好本职工作，非得大而全，给你啥内容不直接显示，非得解析啥JNDI，真是NB。

除了过度设计问题，居然还把用户输入的参数放在解析函数的占位符参数的位置上。这种行为非常恶劣，基本相当于 SQL注入（直接拼接SQL语句），或者格式化字符串漏洞（直接把用户输入放在 printf的第一个参数）。

当然，这俩漏洞有些年头了，如果你这么做，IDE或者代码检查工具会提示你，但是JNDI注入是新的形式或者变体，IDE来不及更新规则库，就放行了。

还有一个令人诧异的点：JNDI注入漏洞已在Struts2框架中多次发现，其他Apache的开源项目就不想着检测一下？正所谓，前事不忘，后事之师。我从16年开始就听说Struts2的JNDI注入漏洞，这都过了五年还不当回事，甚至没见到有WAF默认能防这东西，真是心大。

老是出问题的开源框架会被抛弃

比如Struts2，比如FastJson，仅此而已

完全不用第三方组件进行开发

不是不可行，而是成本太高

高于开源框架漏洞造成的损失

我就想知道一log工具为啥被搞成可以执行代码…

这就像是对镜子说了句“镜子镜子，谁是世界上最漂里的女人”，结果却被识别为太丑而自动触发核弹进行精确打击。

这就是很多公司慎用开源软件，万一用到需要专人审核的原因了。

名气很大的项目，质量仍然可能不及格。

同时，这也是为何强调要“精确实现需求”，不要做多余的功能的原因之一了。

别以为耍个花活就能“免费”得到一堆功能很赚，代价就是也给了别人耍花活玩你的机会。

最后，就还是那句话：别把用户想的太善良！

尤其服务器程序，黑客就藏在其中，他会想尽办法搞破坏--以内行的眼光。

正常公司里，日志工具老老实实解析就是了，程序和数据必须严格区分--相关功能是通不过立项的。