Struts2 框架下 Log4j2 漏洞分析与检测方法总结（思维导图）.pdf

下载文档

0
0
约9.43千字
约 1页
2023-03-22 发布于浙江
举报
版权申诉
保障服务

Struts2 框架下 Log4j2 漏洞分析与检测方法总结（思维导图）.pdf

1、本文档共1页，可阅读全部内容。
2、有哪些信誉好的足球投注网站（book118）网站文档一经付费（服务费），不意味着购买了该文档的版权，仅供个人/单位学习、研究之用，不得用于商业用途，未经授权，严禁复制、发行、汇编、翻译或者网络传播等，侵权必究。
3、本站所有内容均由合作方或网友上传，本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺！文档内容仅供研究参考，付费前请自行鉴别。如您付费，意味着您自己接受本站规则且自行承担风险，本站不退款、不进行额外附加服务；查看《如何避免下载的几个坑》。如果您已付费下载过本站文档，您可以点击这里二次下载。
4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等，请点击“版权申诉”（推荐），也可以打举报电话：400-050-0827(电话支持时间：9:00-18:30)。

1、检测难度大，无法判断网站应用是否后台调用了log4j记录日志功能起因 1、手工构造特殊url路径 2、特殊的log4j2需要特殊的条件才能实现 2、框架特有的参数、消息头 1、log4j2日志输出级别有8个不同的检测方法，所以需要查找Struts2中log4j2的从低到高：All Trace Debug Info Warn Error 日志输出级别 Fatal OFF 多数log4j2代码执行在 Logger 2、Struts2框架中log4j2的配置在log4j2.xml文件中 name=org.apache.struts2 level=info/内容中如果 Logger 配置的是 info 级别，由于info 优先级比 debug 高，所以 debug 级别的 log4j2 的各种 POC 都没法执行，这也是为什么同样的 log4j