如何在程序集中查找log4shell易受攻击的类(jar/ear/war)

Question

围绕当前的log4shell情况，我需要一种方法来确定我的打包产品中是否有易受攻击的类。如果以下类包含在打包在EAR或WAR文件中的jar文件中，那么最简单的方法是什么？

• JndiLookup.class
• JMSAppenderBase.class
• JMSAppender.class

Answer 1

一个解决方案是以下bat脚本：

@echo off
echo extraction step 1
"C:\Program Files\7-Zip\7z.exe" e -r -aos -bd -otmp *
echo creating filelist
"C:\Program Files\7-Zip\7z.exe" l -r -aos -bd tmp/* >filelist.txt
echo cleanup
rmdir /s /q tmp
echo analysis result:
find "JndiLookup.class" filelist.txt
find "JMSAppenderBase.class" filelist.txt
find "JMSAppender.class" filelist.txt
pause