1.log4j2(一) 获取 ILoggerFactory
2.什么是源码Log4Shell？Log4j漏洞解读
3.紧急Log4j又发新版2.17.0，只有彻底搞懂漏洞原因，下载才能以不变应万变，源码小白也能看懂
4.日志系统log4j

log4j2(一) 获取 ILoggerFactory

       å…³äºŽlog4j2的初始化流程，现在项目基本都是springboot项目，就需要结合 springboot 源码来解析，这块可以参考 Springboot - Log4J2LoggingSystem源码解析

        因为spring-boot-starter依赖中日志使用的是spring-boot-starter-logging，这里面是用的是logback，所以需要先剔除此依赖

        再添加log4j2依赖

        如果我们想使用 yml 后缀的配置文件还需要再加一个依赖

        然后相关依赖版本如下

        以下源码基于 log4j 2.7。

        先看一张log4j官方提供的类图

        先简单了解一下这些类

        过滤器的种类也很多，比如根据日志级别。Filter会返回一个枚举值Filter.Result，有三种：

        详细参见 log4j - Filters

        log4j的初始化流程实在有点饶，这里简要讲讲。

        LoggerFactory#getLogger(String)

        在只有一个log4j2的依赖时，加载流程大致如下：

        在 getILoggerFactory() 方法中做了这么几件事

        再看下 log4j2 的 StaticLoggerBinder 源码

        下一篇看看后续Logger的获取。

        添加 logback 依赖（直接放开 spring-boot-starter-logging 也行），这样我们项目就有两个 org/slf4j/impl/StaticLoggerBinder.class 了

        然后启动，提示

        我的疑问就是为啥不用log4j2而用logback，就打开这个网址查了下，里面最后有一段

        告诉我们

        好吧，随机的我也是醉了。。

        参考

       ），下载获取DevSecOps解决方案和免费试用，源码以确保软件安全交付。下载提取网址源码

       原文来源：perforce.com/blog/kw/wh... 龙智集成全球工具与定制服务，源码助力您的下载软件安全旅程。

紧急Log4j又发新版2..0，源码只有彻底搞懂漏洞原因，下载才能以不变应万变，源码小白也能看懂

       Log4j版本更新频繁，下载查找保存的源码从2..0到2..0再到2..0，源码安全问题似乎仍未得到彻底解决。下载面对这一系列紧急事件，源码修复和理解漏洞的根源至关重要。Log4j2的漏洞主要是通过JNDI注入恶意代码实现远程代码执行，涉及到RMI和LDAP等技术。JNDI作为Java的命名和目录接口，允许应用程序通过API访问这些服务。

       攻击者通过发布包含恶意代码的RMI服务，然后在Log4j的日志记录中注入JNDI调用，触发远程对象加载并执行恶意代码。抖音挂载源码这个过程包括恶意代码的创建、发布服务、Log4j漏洞注入以及代码执行。源码分析显示，问题出在MessagePatternConverter的format()方法，它会执行JNDI调用，最终导致恶意代码的加载和执行。

       要防止此类攻击，必须满足以下条件：使用的是存在漏洞的Log4j2版本（<= 2..1），系统日志无过滤，攻击者控制了RMI和恶意代码服务，溯源码定制价格被攻击者服务器能访问这些服务，且RMI/LDAP协议的trustURLCodebase设置为true。防范的最佳策略是关闭相关的Lookup功能，及时更新到最新修复版本，同时进行充分的测试。

       虽然我之前发布的教程仍然适用，但大家务必理解漏洞根源并采取对应措施。关注『Tom弹架构』公众号，获取更多技术内容，持续关注漏洞修复动态。感谢您的旗帜溯源码对不上支持和分享，点赞、收藏和关注是我们前进的动力！

日志系统log4j

       Log4j是一个由Apache提供的开放源代码项目，专门用于日志系统管理，它允许开发者控制日志信息的输出目的地、格式以及日志级别。Log4j支持七种日志级别：TRACE、DEBUG、INFO、WARN、ERROR、FATAL、OFF。如果配置为OFF级别，则表示关闭日志输出。通过配置文件可以灵活地进行配置，而不需要修改程序代码。

       Log4j拥有多种日志输出方式，包括控制台输出、文件输出、数据库输出、GUI组件、套接口服务器、NT的事件记录器、UNIX Syslog守护进程等。其配置文件支持两种格式：properties和xml。Log4j包含三个主要组件：Logger、Appender、Layout。

       Logger代表日志记录器，控制日志的输出行为；Appender用于控制日志输出的目的地；Layout则定义日志信息的输出格式。Log4j中有多种Appender，如ConsoleAppender输出到控制台、FileAppender输出到指定文件、DailyRollingFileAppender每天产生一个单独的日志文件、RollingFileAppender限制日志文件大小、WriterAppender将日志信息以流格式发送到任意指定的地方。

       Layout包含多种布局方式，如HTMLLayout以HTML表格形式布局、PatternLayout可以灵活指定布局模式、SimpleLayout包含日志信息的级别和信息字符串、TTCCLayout包含日志产生的时间、线程、类别等信息。

       Log4j配置文件的根配置语法为"rootLogger = [level], appenderName, appenderName, …"，表示指定级别以上的日志信息输出到指定的一个或多个位置。配置文件的基本格式为"一个例子"，给rootLogger设置了两个Appender，一个输出到控制台一个输出到文件。log4j可以配置多个logger，使得系统在不同路径下输出多个内容不同的log文件。

       在JDK 1.3及以前，Java日志依赖System.out.println(), System.err.println()或者e.printStackTrace()，这种方式无法定制化且日志粒度不够细。Log4j的出现弥补了这些不足，它定义的Logger、Appender、Level等概念如今已被广泛使用。

       Log4j1从年月更新到年3月，之后停止更新。年8月5日，项目管理委员会宣布Log4j 1.x已达到使用寿命，建议用户升级到Apache Log4j 2。升级到最新版本的Log4j可以享受到更多的功能和优化。