在 Minecraft 主机上修复 Log4J：保护游戏服务器的可靠方法

"Minecraft Log4j" 这几个词曾让玩家和服务器管理员都感到真切的恐惧。当 Log4j 漏洞（臭名昭著的 "Log4Shell"）首次曝光时，这个严重的安全缺陷已经悄然影响了无数基于 Java 的应用程序，对 Minecraft 社区造成了特别严峻的威胁。为什么说是切身威胁？因为 Minecraft：Java Edition 依赖于自定义的自托管服务器，这意味着修补这个漏洞的重任完全落在了你这样的专属服务器所有者肩上。

在这份指南中，我会带你走一条清晰、务实的路线来保护你的游戏服务器。我们不仅会应对之前的 Log4j 漏洞，还会教你更广泛的防护策略，确保玩家在一个真正安全舒适的环境中游玩。

Minecraft log4j exploit

What is Log4J?

Log4J 是一个开源日志软件,专为使用 Java 框架开发的应用程序设计。几乎所有用 Java 编写的大型应用都在某种程度上使用 Log4J。这意味着很多知名厂商都要紧急发布应用程序的安全更新和补丁。 Minecraft is no exception, worse, it seems the Log4J vulnerability Minecraft or “exploit” is even more effective when it comes to Minecraft. Naturally, vulnerability is limited to Minecraft: Java Edition, and other versions are immune. Then again, the Java Edition is the one you use to host your own Minecraft servers. But what is the Log4J exploit exactly?

Log4j Minecraft 漏洞并不是 that straightforward. To explain what it does will take too long without adding much value to stopping it. Instead, let’s go over the basics that will help you get a grip on things as a Minecraft server owner. Log4J in Minecraft was a “zero-day” exploit. That means no one knew it was there and that’s why it was so effective. Now that the companies have discovered the vulnerability, they can quickly fix it and automatically update their applications. Of course, there are always cases where users fail to get the necessary patch or in some other way continue to be vulnerable to the attack. A Minecraft server is the most likely scenario for this kind of delayed vulnerability. That’s because the automatic update isn’t enough for Minecraft hosting. But that’s no cause of concern. Securing your Minecraft server isn’t that hard. In fact, if you follow the simple steps I’ll show you below, you can quickly make things right. Let’s see what these steps are.

what is log4j

Minecraft 自托管是什么?

我之前提到过，如果你自己托管 Minecraft VPS 服务器，Log4J 的 Minecraft 漏洞会造成更严重的问题。但自建 Minecraft 托管到底是什么意思呢？它跟在线运行有什么区别？为什么风险更高？为了说清楚这一点，我来解释几个基本概念。读完后，检查一下是否适用于你的情况，以及你是否需要采取措施来保护你的计算机和 Minecraft 的安全。

首先，你需要知道你是自己托管 Minecraft 游戏，还是使用 Minecraft Realms。当然，如果你已经向第三方托管服务商（比如 Cloudzy 的 Minecraft VPS 并在自己的服务器上安装了 Minecraft，那你确实是在自建服务。

其次，Minecraft Realms 是 Mojang 官方的订阅式服务器托管服务。它为你和最多十位朋友创建私密在线世界而设计，开箱即用，简单易行。Mojang 负责所有技术后端工作，包括服务器设置、维护和安全更新，你无需担心手动修复 Log4j 漏洞等问题。

Minecraft 自托管

为什么 Minecraft 自托管更容易受到 Log4J 错误的影响？

自建 Minecraft 游戏虽然设置更复杂,但依然很受欢迎,理由很多。Actual,任何形式的远程游戏托管都是如此,包括 VTT 桌游。

Log4j 漏洞带来的威胁主要针对自托管 Minecraft 服务器，主要原因是 direct ownership and 通过定制化提升产品曝光度。与 Realms 不同，服务器所有者必须自己修补漏洞。遗漏一个补丁就意味着服务器完全暴露在风险中。这些服务器直接暴露在互联网上，加上自定义插件/模组的存在，增加了更多的安全隐患，因此吸引了恶意攻击。

Minecraft 自托管漏洞

如何在 Minecraft 服务器上修复 Log4J?

首先，你需要检查服务器上运行的 Minecraft 版本。Log4J 漏洞只影响 Minecraft 1.7 及更高版本，如果你用的是 Minecraft 1.6，就不用担心。最好的办法是将 Minecraft 升级到 1.18.1 版本，该版本已修复这个问题。如果无法升级，按照下面的步骤操作即可。这些步骤针对你服务器上安装的 Minecraft 版本而定。

Minecraft 1.7 – 1.11.2 的步骤

下载 XML 文件： Get the log4j2_17-111.xml 来自 Mojang 的文件。
Placement: 将此 XML 文件放在服务器的工作目录中（即 server.jar is).
Startup Command: Add -Dlog4j.configurationFile=log4j2_17-111.xml 到你的服务器启动命令。

Minecraft 1.12 – 1.16.5 的步骤

下载 XML 文件： Get the log4j2_112-116.xml 来自 Mojang 的文件。
Placement: 将此 XML 文件放在服务器的工作目录中。
Startup Command: 在服务器的启动命令中添加 -Dlog4j.configurationFile=log4j2_112-116.xml。

Minecraft 1.17 步骤

对于 Minecraft 1.17.x，有一个更简单的缓解方案，无需外部 XML 文件：

Startup Command: 启动命令：在服务器启动命令中添加 -Dlog4j2.formatMsgNoLookups=true 即可。

Minecraft 1.18 的步骤

对于 Minecraft 1.18，最理想的解决方案是升级到 1.18.1 版本。但如果无法立即升级，可以先应用临时缓解措施：

Upgrade: Upgrade to Minecraft 1.18.1.
Startup Command: 如果无法升级，可以临时使用 -Dlog4j2.formatMsgNoLookups=true 作为解决方案。

fix Minecraft log4j

Ways to 获取 Minecraft 服务器

好的，现在我们来说说你具体能做什么 inside 你的 Minecraft 服务器可以防止问题发生，确保一切顺利运行。把这些想象成你服务器的专属保镖和防护盾牌吧！

1. Allow Whitelisting:

对于私人服务器（比如仅供你的朋友使用），在 server.properties 文件中启用白名单。这样只有你明确添加到白名单中的玩家才能加入，从而防止不速之客。

2. 使用服务器盾牌（通过 BungeeCord/Velocity 等代理服务器）：

Consider these “backdoors” to your server. They cloak your main server’s IP address to the public-which is a central factor in Minecraft DDoS 保护-这样恶意程序就无法直接攻击你的主服务器！