Java Agent 动态修补 Log4j2 漏洞的好方法被我找到了
1、前言
Apache Log4j2 JNDI 注入漏洞(CVE-2021-44228)持续发酵,目前网络上提供了多种修补方案,如更新至最新版本、通过配置禁用 lookup 特性、删除 org/apache/logging/log4j/core/lookup/JndiLookup.class
类等,这些方法都能有效修补该漏洞,受 NCCGROUP 的项目 log4j-jndi-be-gone 启发,笔者将分享一个通过 java agent 修改 jvm 字节码的方式动态 patch Log4j2 漏洞的方案,此方案的特点是可以在不重启服务的情况下,也可完成修复。希望此方案能够给那些因为业务原因无法重启应用的朋友们提供点思路。
2、Java Agent 简介
Java Agent 时 java 提供的一种机制,可以理解为一种 hook 机制,可以在 jvm 运行时动态修改 java 字节码,从而改变运行流程,从而实现一些特殊的功能,如性能监控,热更新等。关于如何开发一个 java agent, 网上有很多资料可以可以参考,如: Java字节码1-Agent简单上手 - 简书 ,这里就不进行阐述。
3、动态修补 Log4j2 漏洞
根据公开资料,已经知道该漏洞最终出现在Log4j2中 org.apache.logging.log4j.core.lookup.JndiLookup
类的 lookup
这篇好文章是转载于:学新通技术网
- 版权申明: 本站部分内容来自互联网,仅供学习及演示用,请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系,请提供相关证据及您的身份证明,我们将在收到邮件后48小时内删除。
- 本站站名: 学新通技术网
- 本文地址: /boutique/detail/tanhibcjki
系列文章
更多
同类精品
更多
-
photoshop保存的图片太大微信发不了怎么办
PHP中文网 06-15 -
word里面弄一个表格后上面的标题会跑到下面怎么办
PHP中文网 06-20 -
photoshop扩展功能面板显示灰色怎么办
PHP中文网 06-14 -
《学习通》视频自动暂停处理方法
HelloWorld317 07-05 -
TikTok加速器哪个好免费的TK加速器推荐
TK小达人 10-01 -
Android 11 保存文件到外部存储,并分享文件
Luke 10-12 -
微信公众号没有声音提示怎么办
PHP中文网 03-31 -
excel下划线不显示怎么办
PHP中文网 06-23 -
微信运动停用后别人还能看到步数吗
PHP中文网 07-22 -
excel打印预览压线压字怎么办
PHP中文网 06-22