从源码看Log4j2、FastJson漏洞( 四 ) _Log4j2

// 上面提到的 com.sun.rowset.JdbcRowSetImpl 就在黑名单中，即 com.sun. private String[]public Class<?> checkAutoType(String typeName，Class<?> expectClass) {if (typeName == null) {return null;}final String className = typeName.replace('$'，'.');if (autoTypeSupport || expectClass != null) {for (int i = 0; i < acceptList.length; ++i) {String accept = acceptList[i];if (className.startsWith(accept)) {return TypeUtils.loadClass(typeName，defaultClassLoader);}}for (int i = 0; i < denyList.length; ++i) {String deny = denyList[i];// 类名中只要包含了黑名单中的任何对象，直接抛异常，宁可错杀不可放过if (className.startsWith(deny)) {throw new JSONException("autoType is not support. " + typeName);}}}...... } 总结如下展示了2018年收录漏洞按利用方式统计图与2020年CNVD漏洞产生原因图。

文章插图

文章插图

可见漏洞利用的攻击方式分为：本地攻击和远程攻击。
其中远程攻击占比约为89%，本地攻击约占11%，由此可见远程攻击是主要的漏洞攻击的手段，也是需要主要防范的漏洞攻击手段，并且大部分漏洞的产生原因都是设计错误导致的。(所以网络一片呼声希望高铁提供不使用 AutoType 的 FastJson，HH)
分析 Log4j2 的此次漏洞产生原因与修复方案是我们的一小步，希望各位都能写出没有bug的代码(厚颜无耻的说，我一直在写bug~_~)
____________________ < 神兽护体，永无bug! > --------------------^__^(oo)_______(__))/||----w ||||| 原文地址：
http://netsecurity.51cto.com/art/202112/697355.htm
如果你觉的本文对你有帮助，麻烦点赞关注支持一下

从源码看Log4j2、FastJson漏洞( 四 )

推荐阅读

女生怎样练出一个美背

打金针减肥效果怎么样

[他人婚]被曝插足他人婚姻《青你2》选手申冰退赛

男子误遭3岁女儿枪杀▲3岁娃不小心扣动扳机，美国一男子误遭枪杀

Selina|20年后再看S.H.E, 为何她们三人差距那么大？

神话里的混沌是啥意思道教关于混沌的描述

安装、使用恒温水龙头有哪些注意事项

中年|募集资金没按约定投资竟用于个人消费中金国瑞案逾18亿元未兑付

主角|5本主角无敌嚣张的玄幻小说，全程高能不虐主，看得人很爽快

网络电视机顶盒哪个牌子好？选购必看的三大入门诀窍！

近期超级热门的5部综艺节目最近的热门综艺节目有哪些？

香辣虾怎么做最好吃家常做法,香辣虾的做法最正宗的做法窍门-

【微信升级】微信拍一拍怎么玩？怎么修改后缀？怎么拍一拍好友？|【微信升级】微信拍一拍怎么玩？怎么修改后缀？怎么拍一拍好友？

李亚鹏|李亚鹏：我的石头值3亿，四合院价值8亿，法院：限高，负债4000万

三弄|20200912《新闻联播》解读，欧盟停止数据传输给美国！|

网传博白发现1名确诊病例的密接者？官方回应

祁门红茶特点

产品|如何正确选购充电暖手宝？安全提醒来了

弈客围棋|金成龙翻案！法院判韩国棋院处罚违法需撤销，原创

孟晚舟|孟晚舟案再开庭，揭开“惊天丑闻”