Apache Log4j2 远程代码执行漏洞已爆发一周,安全厂商提供各类防御方案和检测工具,甲方团队连夜应急. 影响持续至今,网上流传的各种利用和绕过姿势还在层出不穷,影响面持续扩大.所有安全人都开始反思一个问题:当前的防御是否有效?针对这样的 0day 再次发生,什么是有效的手段? 阿里云安全团队此次参与了诸多客户应急,并从云平台自身防御总结经验,尝试抛出一些观点以供讨论. 首先,我们先来从技术层面分析一下为什么这次 Log4j2 这么难搞. Apache Log4j2 漏洞们的特质 此次 L…

本文带给大家的内容是动态防御WAF的技术原理及编程实战. 将通过介绍ShareWAF的核心技术点,向大家展示动态防御的优势.实现思路,并以编程实战的方式向大家展示如何在WAF产品开发过程中应用动态防御技术. ShareWAF是一款动态防御型WAF产品,其在反自动化攻击.反爬虫等领域应用了动态防御技术. 相比于传统WAF,动态防御型的WAF,有非常显著的优势: [动态防御优势.原理] 概括而言,优势体现为两个词:主动防御.不可预见 传统WAF,是静待攻击来临.识别攻击,再抵御攻击. 应用动态防御技…

本文来自 网易云社区 . 可怕的 DDoS 出于打击报复.敲诈勒索.政治需要等各种原因,加上攻击成本越来越低.效果特别明显等趋势,DDoS 攻击已经演变成全球性的网络安全威胁. 危害 根据卡巴斯基 2016Q3 的调查报告,DDoS 攻击造成 61% 的公司无法访问其关键业务信息,38% 的公司无法访问其关键业务,33% 的受害者因此有商业合同或者合同上的损失. 趋势 总结来看,现在的 DDoS 攻击具有以下趋势: 1. 国际化 现在的 DDoS 攻击越来越国际化,而我国已经成为仅次于美国的第二…

欢迎访问网易云社区,了解更多网易技术产品运营经验. 可怕的 DDoS 出于打击报复.敲诈勒索.政治需要等各种原因,加上攻击成本越来越低.效果特别明显等趋势,DDoS 攻击已经演变成全球性的网络安全威胁. 危害 根据卡巴斯基 2016Q3 的调查报告,DDoS 攻击造成 61% 的公司无法访问其关键业务信息,38% 的公司无法访问其关键业务,33% 的受害者因此有商业合同或者合同上的损失.  趋势 总结来看,现在的 DDoS 攻击具有以下趋势: 1. 国际化 现在的 DDoS 攻击越来越国际化,而…

近日,华为云安全团队关注到Apache Log4j2 的远程代码执行最新漏洞.Apache Log4j2是一款业界广泛使用的基于Java的日志工具,该组件使用范围广泛,利用门槛低,漏洞危害极大.华为云安全在第一时间检测到漏洞状况并在官网发布相关公告,在此提醒使用Apache Log4j2的用户尽快安排自检并做好安全防护. 公告详情:https://www.huaweicloud.com/notice/2021/20211210001621800.html Apache Log4j2是一款业界广泛…

Apache log4j2 远程代码执行漏洞复现 最近爆出的一个Apache log4j2的远程代码执行漏洞听说危害程度极大哈,我想着也来找一下环境看看试一下.找了一会环境还真找到一个. 漏洞原理: Apache Log4j2 中存在JNDI注入漏洞,当程序将用户输入的数据进行日志记录时,即可触发此漏洞,成功利用此漏洞可以在目标服务器上执行任意代码. 通俗简单的说就是:在打印日志的时候,如果你的日志内容中包含关键词 ${,攻击者就能将关键字所包含的内容当作变量来替换成任何攻击命令,并且执行 Ap…

欢迎访问网易云社区,了解更多网易技术产品运营经验. DDoS 攻击与防护实践 DDoS 攻击的实现方式主要有如下两种: 自建 DDoS 平台 现在有开源的 DDoS 平台源代码,只要有足够机器和带宽资源,随时都能部署一套极具杀伤力的 DDoS 平台,如下图的第三种方案.  发包工具 下面提供一款常用 DDoS 客户端的发包代码,可以看到攻击方式非常丰富,ip.端口.tcp flag.包大小都是自定义的. def func(): os.system("./txDDoS -a "+type…

[转载自360众测] Apache Log4j2是一个基于Java的日志记录工具.该工具重写了Log4j框架,并且引入了大量丰富的特性.我们可以控制日志信息输送的目的地为控制台.文件.GUI组件等,通过定义每一条日志信息的级别,能够更加细致地控制日志的生成过程.该日志框架被大量用于业务系统开发,用来记录日志信息. 2021年12月09日,360漏洞云监测到Apache 官方于2021年12月07日发布了log4j-2.15.0-rc1版本.经360漏洞云安全专家研判,该版本存在绕过风险,具有安全…

不断有人跟我说Nginx比Apache好.比Apache快之类.Nginx更主要是作为反向代理,而非Web服务器使用.我翻译过一本关于反向代理的技术书籍,同时精通Apache API开发,对Nginx和Apache的工作原理都略有了解,粗谈一下看法. 不管是Nginx还是Squid这种反向代理,其网络模式都是事件驱动.事件驱动其实是很老的技术,早期的select.poll都是如此.后来基于内核通知的更高级事件机制出现,如libevent里的epoll,使事件驱动性能得以提高.事件驱动的本质还是I…

1.nginx相对于apache的优点:轻量级,同样起web 服务,比apache占用更少的内存及资源抗并发,nginx 处理请求是异步非阻塞的,而apache 则是阻塞型的,在高并发下nginx 能保持低资源低消耗高性能高度模块化的设计,编写模块相对简单社区活跃,各种高性能模块出品迅速啊apache 相对于nginx 的优点: rewrite ,比nginx 的rewrite 强大动态页面模块超多,基本想到的都可以找到少bug ,nginx 的bug 相对较多 超稳定 存在就是理由,一般来说,…