工具分享 | 自研内存马查杀工具MemShellKiller,红队必备

于 2024-09-11 14:49:05 发布
阅读量215 收藏 2
点赞数 9
分类专栏： 渗透工具 文章标签： 网络安全 web安全 渗透测试 红队 免杀 内存马
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_71784624/article/details/142139698
版权

0x00 工具介绍

MemShellKiller是基于Agent技术实现的Java内存马查杀、防护工具。

0x01 下载链接

MemShellKiller下载链接: 夸克网盘分享

0x02 功能介绍

  • Tomcat

  • Agent内存马

  • ClassFileTransformer接口的类transform查杀

注：仅供安全研究与学习之用，若将工具做其他用途，由使用者承担全部法律及连带责任，作者及发布者不承担任何法律及连带责任。

IT软件汇
关注
专栏目录
内存马查杀copagent研究
SHELLCODE_8BIT的博客
09-11 1442
1.cop注入进程jvm进程2.agent扫描进程。
PHP内存马技术研究与查杀方法总结
不忘初心，护天下安全！
06-28 969
内存马是无文件攻击的一种常用手段，随着攻防演练热度越来越高：攻防双方的博弈，流量分析、EDR等专业安全设备被蓝方广泛使用，传统的文件上传的webshll或以文件形式驻留的后门越来越容易被检测到，内存马使用越来越多。 由客户端发起的Web请求后，中间件的各个独立的组件如Listener、Filter、Servlet等组件会在请求过程中做监听、判断、过滤等操作，内存马就是利用请求过程在内存中修改已有的组件或动态注册一个新的组件，插入恶意的shellcode，达到持久化控制服务器的目的传统的Webshell
应急--内存马查杀演示（极简）
m0_58355451的博客
08-30 3053
由客户端发起的Web请求后，中间件的各个独立的组件如Listener、Filter、Servlet等组件会在请求过程中做监听、判断、过滤等操作，内存马就是利用请求过程在内存中修改已有的组件或动态注册一个新的组件，插入恶意的shellcode，达到持久化控制服务器的目的。以java为例，客户端发起的web请求会依次经过Listener、Filter、Servlet三个组件，我们只要在这个请求的过程中做手脚，在内存中修改已有的组件或者动态注册一个新的组件，插入恶意的shellcode，就可以达到我们的目的。
在校自研内存马查杀工具，非常好用
stopluox的博客
09-20 170
该工具总体解决了tomcat和spring内存马的查杀问题，使蓝队师傅们在面对内存马时不再只能使用重启大法。还得为一些可能再也起不来的服务担惊受怕。且该工具比较轻便，对服务没有太多入侵，不会影响服务的正常运行（别删错人家正常功能就行）。再者，该代码尽可能兼容了多版本的环境，使用起来兼容性较高。目前代码已经满足基本功能，后续打算放在github上开源供大家使用。目前还在不断的实战中看看有没有什么新的bug出现，等调试好了就会放到github上。在我后续文章中会放出github链接。
内存马查杀工具使用
最新发布
m0_64777251的博客
06-24 736
jadheapdump干货|冰蝎、哥斯拉 内存马应急排查_冰蝎内存马-CSDN博客。
内存马查杀工具分享！！！
logic1001的博客
02-23 1126
查杀内存马。
查杀内存马工具
weixin_46211944的博客
09-23 557
查杀内存马工具。
内存马查杀工具
Python_0011的博客
02-10 751
由于传播、利用本公众号夜组安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号夜组安全及作者不为此承担任何责任，一旦造成后果请自行承担！Hearts K-企业资产发现与脆弱性检查工具，自动化资产信息收集与漏洞扫描。朋友们现在只对常读和星标的公众号才展示大图推送，建议大家把。因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取。因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取。Google hacking语法大全。”，否则可能就看不到了啦！
内存马介绍及分析-带查杀工具tomcat memshell scanner.jsp
weixin_65629944的博客
12-18 1093
先判断是通过什么方法注入的内存马，可以先查看web日志是否有可疑的web访问日志，如果是filter或者listener类型就会有大量url请求路径相同参数不同的，或者页面不存在但是返回200的，查看是否有类似哥斯拉、冰蝎相同的url请求，哥斯拉和冰蝎的内存马注入流量特征与普通webshell的流量特征基本吻合。4.java VisualVM工具：是一款免费的，集成了多个 JDK 命令行工具的可视化工具，它能为您提供强大的分析能力，对 Java 应用程序做性能分析和调优。cmd=后跟命令即可。
tomcat-memshell-scanner.jsp
12-18
这里推荐几款内存马查杀工具 java-memshell-scanner：通过jsp脚本扫描并查杀各类中间件内存马。 只需要将tomcat-memshell-scanner.jsp放在可能被注入内存马的web录下，然后使用浏览器访问即可直接获得扫描结果。
在校自研内存马查杀工具，非常实用
stopys6的博客
09-07 592
该工具总体解决了tomcat和spring内存马的查杀问题，使蓝队师傅们在面对内存马时不再只能使用重启大法。还得为一些可能再也起不来的服务担惊受怕。且该工具比较轻便，对服务没有太多入侵，不会影响服务的正常运行（别删错人家正常功能就行）。再者，该代码尽可能兼容了多版本的环境，使用起来兼容性较高。目前代码已经满足基本功能，后续打算放在github上开源供大家使用。目前还在不断的实战中看看有没有什么新的bug出现，等调试好了就会放到github上。在我后续文章中会放出github链接。
内存马检测排查手段
热门推荐
SimoSimoSimo的博客
11-05 2万+
内存马是无文件落地webshell中最常见的攻击手段，随着攻防演练对抗强度越来越高，流量分析、EDR等专业安全设备被蓝方广泛使用，传统的文件上传的webshll以及文件形式的后门容易被检测到，文件shell明显气数已尽，而内存马因其隐蔽性等优点从而越来越盛行。
内存马查杀工具FindShell试用
HRay's blog
03-17 6801
首先使用冰蝎创建一个内存马 成功进入内存马界面 接下来尝试使用findshell查杀，项目主页为 https://github.com/4ra1n/FindShell 服务器上首先部署代码，执行 git clone https://github.com/4ra1n/FindShell.git 然后进入到FindShell目录，打包项目，执行（如果没有mvn命令需要先yum -y install apache-maven安装） mvn package 打包后在targe..
ECSC课堂 | 3分钟 get 内存马查杀！
安胜ANSCEN的博客
04-03 572
常规的Webshell基于文件类形式存在，而内存马是一种无文件攻击手段，因此也被称为或者。因为常规的Webshell有文件落地，所以被发现的机率较大。而内存马存在于内存中，降低被发现的概率，给检测带来巨大难度，通常被作为后门进行使用，持久化地驻留在目标服务器中。根据不同的脚本类型，存在各种触发的内存马，没有稳定的静态特征，易于混淆，常规的WAF安全产品难以检测。各种类型的“马”内存马仅存在于中，系统层面的安全检测工具无法检测出内存马。
网络安全工具websocket webshell内存马使用
SHELLCODE_8BIT的博客
09-08 703
将其中的wscmd.jsp放置到web根目录。
木马克星冰刃查杀工具进程管理工具
08-15
"木马克星冰刃查杀工具进程管理工具"是一款专门针对计算机系统中潜藏的木马病毒进行检测和清除的软件。它集成了强大的进程管理功能，帮助用户识别并处理那些可能带有恶意代码的进程，确保系统的安全稳定运行。这款...
HVV之内存马检测工具
公众号:乌云安全
09-23 764
一个简单寻找包括不限于iis劫持，无文件木马,shellcode免杀后门的工具，本程序需要64位编译才能回溯x64的程序堆栈，请勿执行32位编译。本工具不能代替杀毒软件。功能列表HWBP hook检测 检测线程中所有疑似被hwbp隐形挂钩内存免杀shellcode检测(metasploit,Cobaltstrike完全检测)可疑进程检测(主要针对有逃避性质的进程[如过期签名与多各可执行区段])无文件落地木马检测(检测所有已知内存加载木马)
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值