应急响应—JAVA内存马风险处置

JAVA内存马风险处置

JAVA内存马简介

背景：内存马技术作为一种无文件攻击、内存Webshell、进程注入等基于内存的攻击手段，其最大的特点就是在攻击过程中不产生任何文件落地，从而极大地提高了其隐蔽性和逃避性。这使得内存马能够在目标系统中持续潜伏，实时监控、搜集、篡改信息，而且难以被现有的防御措施所发现。

概念

内存马指的是无落地文件,它不像普通的文件马那样将恶意代码嵌入到文件中，而是直接注入到计算机的内存中运行。

内存马通过寻找中间件或应用程序中的漏洞，在请求处理过程中修改已有的组件，如Listener、Filter或Servlet，将恶意代码shellcode加载到内存中，然后在内存中执行恶意操作,实现对服务器的控制。

JavaWeb 三大组件指的是：Servlet 程序、Filter 过滤器、Listener 监听器，客户端发起的web请求会依次经过Listener、Filter、Servlet三个组件，而内存马利用在请求过程中在内存中修改或动态注册新的组件，达到注入Webshell的目的

内存马的类型

内存马的类型众多

根据不同的脚本类型，存在各种触发机制不同的内存马，没有稳定的静态特征，易于混淆，常