初识Java内存马检测

最新推荐文章于 2024-07-30 20:07:10 发布

折叠车

最新推荐文章于 2024-07-30 20:07:10 发布

阅读量4.3k

点赞数

文章标签： java 开发语言

本文链接：https://blog.csdn.net/chennqqi/article/details/122248443

版权

近些年，无文件攻击技术越来越流行。本文旨在介绍无文件攻击中最为流行的一种技术——Java内存马，让企业、用户了解和重视其危害性，提高防范意识，降低安全风险。

- 全文约1500字，预计阅读时间为4分钟 -

前言

在Ponemon Institute给出的一份网络安全报告中显示，2018年所有的网络攻击中，35%是无文件攻击。

据Dynatrace的不完全统计，2020年成功的勒索病毒攻击事件中，有超过80%是通过无文件的方式完成的。同年新增的大部分新型勒索病毒样本也大多采用了无文件技术。

互联网始于1969年美国的阿帕网，2000年之后进入高速增长，数据增长速度远超摩尔定律，这对企业的网络、存储、应用都提出了很大的考验。Java以其成熟且稳定的技术体系，在互联网的潮流中激流勇进，成为了最主要的语言，成为了企业的最爱。

Java内存马(以下简称“内存马”)也开始逐渐进入人们的视野中。由于其无文件的特性，可以有效躲避传统安全设备的检测，所以在近年的护网行动中内存马也逐渐成为了攻击方的常备武器之一。

在2017年的《看不见的Shell》文章中就已经提出了通过动态注册servlet在tomcat中注册内存马。而在一份2019年的Java生态报告中显示，tomcat仍是Java开发者中使用最广泛的web服务器，市场占有率高达73%。

此后随着冰蝎将Java Agent技术应用在Java内存马上以后，拓宽了内存马的使用场景，对内存马的研究和使用开始越来越火，2020年出现了更多针对特定框架使用的内存马，其中包括了在Java Web中占据主导地位的Spring。(Spring框架在Github上已有超过45k stars）

Java Web内存马作为众多WebShell的一种，在了解Java Web内存马之前我们先回顾一下什么是WebShell，它有哪些危害。

什么是WebShell？

WebShell通常指攻击者所使用的一种恶意脚本，其目的是为了获取web服务器的命令执行操作权限，来达到执行系统命令，窃取服务数据等恶意目的。WebShell所使用的语言类型往往和web服务的后端环境有关。

WebShell类型变迁

WebShell最初是以网站或者服务器管理的形式存在的，后来逐渐演变成功能较为齐全的“大马”，能够支持在渗透过程中可能用到的各种功能，比如文件管理，命令执行，端口扫描，反弹shell等等。但是功能齐全也意味着文件体积较大容易暴露或者直接被限制大小无法完成上传。随之也就衍生出了小马(体积较小，隐蔽性强)，最重要的是在与图片结合一起上传之后利用nginx或者IIS6的解析漏洞来运行，一般只包含上传文件功能，然后通过小马拉大马。随后还出现了更加短小精悍的一句话木马。

主流WebShell工具

冰蝎

冰蝎是一款现在较为流行的WebShell工具，原因在于其拥有着极其优秀的加密通讯的特点，可以选择通过预共享密钥机制使其通讯全程秘文进行。并且在最新的版本中支持利用Java Agent技术对多种Web容器注入内存马的功能。并且在使用冰蝎时产生的TLS流量与正常访问网页的TLS流量在行为特征上差异很小。传统的WAF，IDS等设备对其检测有较大的难度。简单设置后就可以完成shell管理。