本文针对具有“核弹级”影响的 Log4j2 远程代码执行漏洞（CVE-2021-44228，又称 Log4Shell） 进行了全流程复现与深度原理分析。该漏洞源于 Apache Log4j2 日志框架对 JNDI（Java 命名和目录接口） 注入攻击缺乏有效防御，允许攻击者通过发送包含特定指令的日志字符串，诱导服务器从远程恶意地址加载并执行任意 Java 代码。