这几天Log4j的问题消息满天飞，今天我们就一起来看看从源码角度看看这个漏洞是如何产生的。 大家都知道这次问题主要是由于Log4j中提供的jndi的功能。
　　具体涉及到的入口类是log4j-core-xxx.jar中的org.apache.logging.log4j.core.lookup.StrSubstitutor这个类。
　　原因是Log4j提供了 Lookups 的能力(关于Lookups可以点这里去看官方文档的介绍)，简单来说就是变量替换的能力。
　　在Log4j将要输出的日志拼接成字符串之后，它会去判断字符串中是否包含${和},如果包含了，就会当作变量交给org.apache.logging.log4j.core.lookup.StrSubstitutor这个类去处理。
　　相关的代码下面这个
　　首先是org.apache.logging.log4j.core.pattern.MessagePatternConverter这个类的format方法
　　图中标注1的地方就是现在漏洞修复的地方，让noLookups这个变量为true,就不会进去里面的逻辑，也就没有这个问题了。
　　图中标注2的地方就是判断字符串中是否包含${,如果包含，就将从这个字符开始一直到字符串结束，交给图中标注3的地方去进行替换。
　　图中标注3的地方就是具体执行替换的地方，其中config.getStrSubstitutor()就是我们上面提到的org.apache.logging.log4j.core.lookup.StrSubstitutor。
　　在StrSubstitutor中，首先将${和}之间的内容提取出来，交给resolveVariable这个方法来处理。
　　我们看下resolver的内容，它是org.apache.logging.log4j.core.lookup.Interpolator类的对象。
　　它的lookups定义了10中处理类型，还有一个默认的defaultLoopup,一种11中。如果能匹配到10中处理类型，就交给它们去处理，其他的都会交给defaultLookup去处理。
　　匹配规则也很简单，下面简单举个例子。 1.如果我们的日志内容中有 ${jndi:rmi://127.0.0.1:1099/hello} 这些内容，去掉${和},传递给resolver的就是 jndi:rmi://127.0.0.1:1099/hello 。
　　2.resolver会将第一个 : 之前的内容和lookups做匹配，我们这里获取到的是jndi，就会将剩余部分 jndi:rmi://127.0.0.1:1099/hello 交给jdni的处理器JndiLookup去处理。
　　图中标注1的地方入参就是 jndi:rmi://127.0.0.1:1099/hello
　　图中标注2的地方就是 jndi
　　图中标注3的地方就是 rmi://127.0.0.1:1099/hello
　　图中标注4的地方就是处理器JndiLookup类的对象
　　图中标注5的地方就是jndi来处理的入口
　　关于jndi相关的，以及漏洞如何复现网上有一大把的教程，这里就不展开了。 关于漏洞的修复。
　　主要是通过设置noLookups变量的值，不让它进去这个if里面的逻辑。
　　这个变量的值是来自下面这个属性
　　所以在在代码中加入System.setProperty(＂log4j2.formatMsgNoLookups＂,＂true＂);这句也就可以了。当然网上有更多其他的修复方法，这里就不讨论了。
　　原文：https://www.cnblogs.com/wbo112/p/15690699.html
　　欢迎点赞+转发+关注！大家的支持是我分享最大的动力！！！

法媒两河文明发源地濒临干涸法国世界报网站8月9日刊登埃莱娜萨隆的一篇文章，题为伊拉克的肥沃河谷濒临消亡。全文摘编如下在伊拉克南部穆萨纳省的萨瓦湖沿岸游客观光旧址，眼前是一望无际的沙漠。40岁的司机阿卜杜拉怀这10条房山精品旅游路线！你都体验过了吗？京郊旅游微度假千万别错过咱们房山这里有40亿年的自然造化千百万年的地质变迁更有70万年的人类史5000年的文明史3000多年的建城史8月11日北京交通广播文旅局长面对面房山篇特邀北行走在夏日的高原此次到高原没有明确的方向，只有大致的目的，信马由缰，边走边拍。这个季节的南方，炎热似火。汽车从几近燃烧的空气中一路向北，驶过成都平原，驶过岷江河谷，驶过查针梁子，驶进阿坝大草原，海健康营养和安全1身体健康的标准是营养全面，生活节制，肌肉不松弛。活着真好，知足常乐，精神放轻松。请努力向此标准看齐，你是最棒的，加油。世界保健日祝健康长寿。2饭前饭后勿食水果，饭前空腹吃水果，水活珠子不能和什么东西同时吃活珠子是生活中比较常见的一种食物，也是很有特色的一种美食，它的吃法比较多，可以烤着吃，也可以煮着吃等，但是不能生吃。吃活珠子也有一定的讲究，它不能和茶叶兔肉以及果酸高的食物一起吃。午餐吃不对，血糖准崩溃糖友午餐推荐英纽林202208151437发表于湖北早餐吃的好，全天血糖优糖友早餐推荐这篇文章阅读量超7000了，小编很开心（没看的赶紧点击链接看看哦），原来大家都是吃货，喜欢关注怎么吃，今天1张医圣张仲景的方子，仅仅只有4味药，却能化痰湿，散结节人们都说寒气易除，湿气难去，身体有了湿气就可能产生各种疾病，例如甲状腺结节乳腺结节等。张仲景的一个祛湿名方，让你无湿一身轻，中医道千寒易除，一湿难去。湿性黏浊，如油入面。湿邪，可以想要低蛋白，又得摄入足够优质蛋白，肾友该怎么吃？优质低蛋白饮食是肾友之间永恒的话题。优质蛋白主要来源于肉蛋奶豆腐等食物。如果想要控制好蛋白质总量摄入，主食中的蛋白质可不能多吃。那么，哪些主食是低蛋白主食呢？快来看看今天的文章吧！别再粗茶淡饭，小心没病吃出病！人到中年就该学学这5种吃法很多老年人，还有一些中年人，对于大鱼大肉都有一种吃腻了的感觉。有的还害怕高血压高血脂高血糖等找上自己。于是在饮食上更喜欢那些粗茶淡饭的方式，认为这样能够保持身体健康，并且延年益寿！迪丽热巴今日份机场图来啦！绿色碎花开叉长裙绝美今日，迪丽热巴现身机场，身穿绿色碎花开叉长裙，显得既优雅又知性，头戴一顶墨绿色鸭舌帽，在优雅之余又添了几分活泼。今日的机场照一经曝光，就迅速引发了网友的关注热议，许多网友纷纷评论绿今日主力资金最大买入100股名单2022年8月22日195303501hr002761hr24。990。891253。10万5。2655。08万0。231198。02万5。03381。84万1。60871。26万暗黑2重制版刺客陷阱雷光亡者绿色套装版刺客陷阱雷光亡者绿色套装版案例96级刺客配置评价（评分最低1分最高10分）造价高低4分最贵就是刚毅无限瘟疫（底材有雷光翔龙脚武器格挡）安全性7分绿色套装的50全抗30DR，以及刺客腾讯电竞难解商业变现之困，达摩克里斯之剑高悬编辑于斌出品潮起网于见专栏电子竞技八项赛事确认成为杭州亚运会的正式比赛项目后，中国电子竞技市场迎来了空前的发展机遇。Newzoo最新数据显示，中国电竞行业今年市场规模预计将超180怀孕女性都该看看，关于妊娠纹的一切前几年有一部很火的电视剧，是周迅主演的，名字叫如懿传，相信大家就算没看过，应该也听说过，其中有一段情节就是海兰生完孩子以后，肚子上布满了妊娠纹。对很多怀孕的女生来说，妊娠纹可谓是洪黑神话悟空公布美艳女妖精首次惊艳亮相8月20日是黑神话悟空公布首支演示视频两周年，游戏科学与往年一样在8月20号这天公布了黑神话悟空的6分钟实机剧情片段，女妖精们首次露面，一起来看下。官博配文有人不入爱河，有人深陷欲刘若英在年过半百还很洋气，穿白衬衫配背带裤去种菜，美成了少女现在的人都比较注重养生，出门的时候基本也看不出年龄。年龄永远都是一个谜底，刘若英在年过半百之后，整个人看起来也是比较年轻的。也许是和自己平时的美丽有关吧，整个人看起来也不像是年过半除了率土和三国杀，看看你玩过这些三国题材的手游吗？在如今游戏行业迅速发展的时代，三国题材的游戏可谓是层出不穷，当然其中也不乏优秀之作。那么，除了率土之滨三国杀，你对下面几款三国题材的手游有所了解吗？1。群雄时代群雄时代是一款借鉴和三国杀被小学生读错名字的母兵脸强度如何？精英玩家比邓艾强三国杀移动版三国杀有个不太成文的规律，就是每过一段时间就会出一个名字很难读的武将。最近正准备上线一位基本没人能读对名字的马日磾就是一个典型的例子，看到这个武将，不知道我们还记不记得现在的家长，流行给孩子取名像懿这样笔画超多的名字了给孩子取名字，可以说是家长们极其重视的一件事情，孩子还没有出生，有的就提前一年多，甚至孩子都没有怀上就开始着手想孩子的名字。以前网上时有报道，说现在哪些名字是家长最喜欢给孩子取的，未来科学大奖今天揭晓与诺贝尔奖有何不同？今天上午，2022未来科学大奖正式揭晓。北京生命科学研究所资深研究员清华大学生物医学交叉研究院教授李文辉获得生命科学奖。中国科学院院士，南方科技大学代理副校长南方科技大学理学院院长2022热度攀升最高的10大专业，人工智能位列第一，大数据排第四大学所学的专业，对于未来的发展尤为重要！高考完之后，就要面临专业选择的问题，家长都希望孩子未来就业能更轻松一些，会让孩子选择比较稳定的专业，但是对于很多专业不是很了解也不知道未来发阿里之后，中企正式官宣，外媒中科院院士的期望有结果了文C君科讯排版C君科讯头条号原创文章，禁止抄袭，违者必究已经开始了！阿里之后，中企正式官宣，中科院院士的期望有结果了聚焦芯片产业链的国产化，是最近几年国内芯片企业的核心方向，而事实