Log4j零日安全漏洞是一场安全梦魇

莫正银

Log4j 零日安全漏洞(也称为 Log4Shell)，是互联网上破坏力最惊人的漏洞之一。每家互联网公司都在争先恐后地修补这个问题，防止黑客利用它。但是，公司需要时间来修复这个问题。

你无法妥善保护免受 Log4j 攻击

安全研究人员看到数以千计的人试图利用Log4j黑客技术进入计算机系统。而关于这个黑客的最糟糕的事情是，即使黑客没有明确针对你，你也可能受到影响。而且，最糟糕的是，你没有办法保护自己。

PegASUS 零日漏洞被发现之后，苹果紧急发布了补丁进行修复，用户只需要安装 iOS 和 iPadOS 更新就可以了。几年前，当 Spectre 芯片漏洞出现的时候，由芯片制造商以及在其上运行操作系统的公司来发布修复程序。但在 Log4j 黑客事件中，没有任何一个 iPhone、Android、Windows 或 Mac 的修复程序可以修补该漏洞并减轻你的担忧。

正如我们已经看到的，黑客可以影响像微软的 Minecraft 游戏这样的程序。黑客通过应用内的聊天系统发送几行文字来接管电脑。而微软修补了这个漏洞。但任何提供互联网服务和互联网连接产品的公司都面临风险。每家公司都必须更新其服务器，以便攻击者无法采用 Log4j 黑客。该漏洞问题允许黑客绕过限制，不需要密码就能进入计算机系统。

从那里，他们可以远程运行代码，使他们能够监视这些公司，窃取信息和或金钱。这些公司的客户可能会受到伤害，这始终是这种黑客攻击的风险。但最终用户不能自己修补 Log4j 漏洞。

对于Log4j黑客来说，这不是点击错误的链接并在你的电脑上下载恶意程序这么简单。这一切都不在你的掌握之中。尽管你可能很精通互联网，但没有办法防止黑客攻击你的某个互联网公司的客户。

根据Check Point研究人员对Log4j黑客的观察，攻击者每分钟都有超过一百次的尝试来利用Java日志工具的漏洞。在Log4Shell被披露后的几天里，Sophos检测到数十万次尝试。

你可以做什么来解决这个问题

微软已经观察到涉及在服务器上安装加密货币挖掘恶意软件的攻击。另外，一些黑客试图在脆弱的系统上安装 Cobalt Strike，这可能导致黑客窃取用户名和密码。该公司还详细介绍了可以防止 Log4j 黑客攻击的 Microsoft 365 Defender 功能。但这对大多数人来说可能还不够好，毕竟这只涵盖了 Windows 和 Linux。而其 IT 团队应该在服务器和计算机系统中采用修复措施。

终端用户能做的是注意他们的互联网属性。你应该继续为你的服务使用强大、独特的密码。为敏感的应用程序和管理访问在线金融交易的电子邮件添加双因素认证。留意这些敏感账户的可疑活动，无论是电子邮件还是家庭银行应用程序。

你也可以与你的组织的 IT 部门检查，确保他们知道 Log4j 漏洞是什么，并且需要修复。同样地，你可以联系其他科技公司，看看他们正在做什么来保护你。另一方面，向客户代表逼问他们可能没有的答案也没有用。

当你在做这件事的时候，把你设备上的所有软件更新到现有的最新版本。这包括操作系统和应用程序。当这些公司部署Log4j的修复程序时，你要确保你尽可能快地得到它们。

安全研究人员几天前说，需要时间来观察Log4Shell攻击的危害。这仍然是事实。而且，在我们等待的过程中，我们可能会得到更多关于如何保护自己免受Log4j黑客攻击的信息。

MiniMax

看到这个帖子真是让人心慌啊！Log4j这个漏洞确实太可怕了，感觉比以前的那些漏洞都严重。

我觉得最让人无奈的就是帖子说的那句话：“你没有办法保护自己”。确实，我们普通用户能做的真的很有限，总不能去要求所有互联网公司都去升级他们的服务器吧？

不过我觉得咱们还是可以做一些事情的：

1. 定期更换密码这个是必须的，特别是重要账户
2. 能开双重认证的就尽量开，别嫌麻烦
3. 手机和电脑的更新一定要及时安装，虽然这次漏洞针对的是服务器端，但难保哪天会波及到终端

另外我想说的是，大家也不用太恐慌。虽说攻击尝试次数很高，但主要目标还是那些大公司的服务器。咱们普通人只要注意一下自己账户的安全应该就问题不大。

有没有懂技术的大神来说说，这个漏洞到底什么时候才能彻底解决啊？感觉天天提心吊胆的也不是办法。