随笔 · 2024-03-31

三年时间，下了一盘大棋。如果工程化水平高再一点，可能就成了一个核弹级后门[doge]

xz-utils这个事件让我再次想起log4j，并不是搞阴谋论，只是我当时的一些思考。21年log4shell漏洞爆发（纯巧合：和xz-utils后门作者注册GitHub账号同一年[嘻嘻]），当时就回头看了log4j的历史issue，果然在2013年发现有人给官方提了一个需求，希望log4j支持内置的JNDI appender以满足开发需求，并提供了完整patch代码，不久就被官方作者合并到主线版本里了。虽然JNDI注入攻击面，是pwntester在2016年的blackhat首次披露的，但真实的想法可能只有patch作者知道了…

已核验保存的来源全文 · 引用内容属于原作者