2023年，挖矿奇安信威胁情报中心统计了全年挖矿木马攻击事件，木马Apache Log4j2漏洞排在利用次数榜首。攻击这不是利用冷门结论，而是最多全球数十万个被植入矿机程序的服务器用“身体”投票的结果。

Log4j2是漏洞Java生态里最普及的日志库，几乎每个大型企业的挖矿后台系统都在用。2021年底爆出的木马“Log4Shell”漏洞（CVE-2021-44228）危险程度拉满——攻击者只需在用户输入框、HTTP请求头甚至商品名称里塞一段特殊字符串，攻击就能让服务器远程执行任意代码。利用挖矿团伙发现这条“高速公路”后，最多立刻批量扫描全网开放端口，漏洞用自动化脚本把XMRig矿机程序塞进内存。挖矿整个过程不到30秒，木马受害者连日志都没来得及看，攻击CPU就已经开始为门罗币满负荷运转。

我见过最典型的案例是某省政务云平台，攻击者利用Log4j2漏洞打进一台运行Java微服务的节点，横向移动后控制了12台物理机。安全团队发现时，这些机器上已经跑了三个不同家族的挖矿程序，其中一个还带进程隐藏和文件自毁功能。运维主管当时苦笑：“我们连数据库密码都改了，但矿机程序早就把自己写进计划任务，每五分钟换一次进程名。”

为什么偏偏是Log4j2？原因很直白：Java在金融、电商、政企系统里的占有率太高，而Log4j2又是其中默认的日志组件。漏洞利用门槛低到离谱——网上随便搜都能找到现成的利用工具，不需要懂底层原理，复制粘贴就能打。相比之下，像永恒之蓝（MS17-010）这种老牌漏洞虽然也能挖矿，但需要目标开放SMB端口且未打补丁，而Log4j2的触发面更广，任何能传字符串进去的地方都可能中招。

另一个被频繁利用的漏洞是Apache Shiro的反序列化漏洞（CVE-2016-4437）。它比Log4j2更早，但利用条件稍苛刻，需要拿到有效的rememberMe密钥。可很多开发图省事，用默认密钥部署，等于把大门钥匙挂在锁边。挖矿团伙专门写脚本扫描这类系统，撞库式尝试密钥，成功一次就植入矿机，然后立刻清除日志。有个安全群里流传的段子很真实：“你以为自己在写业务代码，其实在给矿老板打工。”

补丁更新滞后是催化剂。Log4j2漏洞公布当天，Apache就发布了修复版本，但大量企业直到半年后才完成升级。原因包括业务兼容性测试、外包团队响应慢、甚至有些老系统根本没人维护。这给了挖矿木马长达数月的“黄金窗口期”。某安全厂商的内部数据显示，漏洞公开后第7天，针对该漏洞的挖矿攻击尝试就突破了百万次。

现实就是如此残酷：攻击者永远比防御者快一步。Log4j2漏洞被利用最多，不是因为它无解，而是因为它恰好卡在“系统普及率高”和“修复周期长”的交叉点上。挖矿团伙不关心你的业务多重要，他们只关心哪台机器能最快跑起来算力。只要还有服务器在跑未打补丁的Java应用，Log4j2就永远是他们的首选敲门砖。