从源码看Log4j2、FastJson漏洞

Log4j2漏洞是由于日志记录功能存在安全漏洞，FastJson漏洞则是由于JSON解析库在处理某些特殊字符时存在安全风险。

专注于为中小企业提供网站建设、网站制作服务,电脑端+手机端+微信端的三站合一,更高效的管理,为中小企业堆龙德庆免费做网站提供优质的服务。我们立足成都，凝聚了一批互联网行业人才，有力地推动了1000多家企业的稳健成长，帮助中小企业通过网站建设实现规模扩充和转变。

Log4j2漏洞分析

背景

Log4j2是一个Java日志框架，用于记录应用程序的日志信息，在2017年，研究人员发现Log4j2存在一个严重的安全漏洞，称为JNDI注入漏洞。

漏洞原理

Log4j2的漏洞主要出现在org.apache.logging.log4j.core.lookup.JndiLookup类中，当使用Log4j2记录日志时，可以通过占位符的方式动态插入变量值，由于没有对输入进行充分的验证和过滤，攻击者可以利用这个漏洞执行任意代码。

修复方法

Log4j2官方发布了多个版本来修复这个漏洞，主要包括以下两个版本：

- Log4j2 2.9.1（紧急安全更新）

- Log4j2 2.10.0（正式修复版本）

用户需要升级到这两个版本之一，以修复该漏洞。

FastJson漏洞分析

背景

FastJson是阿里巴巴开发的一个高性能JSON库，用于在Java对象和JSON数据之间进行转换，在2018年，研究人员发现FastJson存在一个严重的安全漏洞，称为泛型绕过漏洞。

漏洞原理

FastJson的漏洞主要出现在com.alibaba.fastjson.parser.ParserConfig类的setSafeMode方法中，在默认情况下，FastJson的安全模式是开启的，可以防止恶意代码执行，由于泛型类型擦除的问题，攻击者可以通过构造特殊的JSON数据绕过安全模式，执行任意代码。

修复方法

FastJson官方发布了多个版本来修复这个漏洞，主要包括以下两个版本：

- FastJson 1.2.60（紧急安全更新）

- FastJson 1.2.63（正式修复版本）

用户需要升级到这两个版本之一，以修复该漏洞。