什么是LOG4j？
Log4j是Apache的一个开源项目，通过使用Log4j，我们可以控制日志信息输送的目的地是控制台、文件、GUI组件，甚至是套接口服务器、NT的事件记录器、UNIX Syslog守护进程等；我们也可以控制每一条日志的输出格式；通过定义每一条日志信息的级别，我们能够更加细致地控制日志的生成过程。最令人感兴趣的就是，这些可以通过一个配置文件来灵活地进行配置，而不需要修改应用的代码。
漏洞成因
lookup
根据官方文档，log4j可以使用 ${java:xx} 的形式进行一些信息的查询
同时，log4j还允许使用jndi的方式进行查询
从这里就导致了拥有log4j的组件的服务器可以对其他机器进行一个访问的行为
漏洞复现
一个简短的POC
成功接受到信息
可以直接利用jndi注入工具来实现rce
弹个计算器
总结
总体来说，明明就是一个日志组件，却想让他什么活都能干，结果就是给他的功能给多了，导致现在爆出这样的一个漏洞
修复方案：
升级组件至 rc2版本
参考文章：