搜索

[1120] 2020-09-16_[防守视角]tomcat内存马的多种查杀方式

文档创建者：s7ckTeam
浏览次数：26
最后更新：2025-01-16
2020-09-16_[防守视角]tomcat内存马的多种查杀方式 [ 防 守 视 角 ]   t o m c a t 内 存 马 的 多 种 查 杀 方 式 原 创   S y s t 1 m   C h a B u g   2 0 2 0 - 0 9 - 1 6 环 境 搭 建 我 在 W I N D O W S 7 虚 拟 机 下 搭 建 的 T o m c a t ， 搭 建 教 程 网 上 都 有 ， 点 击 s t a r t u p . b a t 启 动 环 境 注 入 内 存 马 这 里 使 用 了 哥 斯 拉 的 内 存 马
查 杀 方 式 一 ： V I S U A L V M （ 远 程 调 试 ） 设 置 j s t a t d . a l l . p o l i c y   文 件 启 动 j s t a t d j s t a t d . e x e   - J - D j a v a . s e c u r i t y . p o l i c y = j s t a t d . a l l . p o l i c y   - J - D j a v a . r m i . s e r v e r . h o s t n a m e = s e r v e r i p
设 置 J V M   C o n n e c t i o n   修 改   c a t a l i n a . s h 文 件 ( L I N U X ) J A V A _ O P T S = " - D j a v a . r m i . s e r v e r . h o s t n a m e = 服 务 器 的 i p - D c o m . s u n . m a n a g e m e n t . j m x r e m o t e - D c o m . s u n . m a n a g e m e n t . j m x r e m o t e . p o r t = j m x 使 用 的 端 口 - D c o m . s u n . m a n a g e m e n t . j m x r e m o t e . s s l = f a l s e - D c o m . s u n . m a n a g e m e n t . j m x r e m o t e . a u t h e n t i c a t e = f a l s e   $ J A V A _ O P T S " e x p o r t   J A V A _ O P T S 修 改 c a t a l i n a . b a t 文 件 ( W I N D O W S ) s e t   J A V A _ O P T S = - D j a v a . r m i . s e r v e r . h o s t n a m e = 1 9 2 . 1 6 8 . 6 7 . 1 1 5   - D c o m . s u n . m a n a g e m e n t . j m x r e m o t e   - D c o m . s u n . m a n a g e m e n t . j m x r e m o t e . p o r t = 8 8 8 8   - D c o m . s u n . m a n a g e m e n t . j m x r e m o t e . s s l = f a l s e   - D c o m . s u n . m a n a g e m e n t . j m x r e m o t e . a u t h e n t i c a t e = f a l s e 下 载 V i s u a l V M M B e a n s 安 装 插 件
连 接 远 程 T o m c a t
检 查 异 常 攻 击 痕 迹 F i l t e r / S e r v l e t 节 点 在 在 S e r v l e t 节 点 中 我 发 现 到 了 自 己 设 置 的 内 存 马 节 点 中 我 发 现 到 了 自 己 设 置 的 内 存 马 t e s t . i c o ， 说 明 已 经 检 测 到 了 内 存 马 ， 说 明 已 经 检 测 到 了 内 存 马 查 杀 方 式 二 ： A R T H A S a r t h a s 是 A l i b a b a 开 源 的 J a v a 诊 断 工 具 h t t p s : / / g i t h u b . c o m / a l i b a b a / a r t h a s
下 载 文 档 地 址   h t t p s : / / a r t h a s . a l i y u n . c o m / d o c / q u i c k - s t a r t . h t m l 非 常 非 常 N i c e 的 工 具 ， 深 入 用 法 请 查 看 使 用 文 档 ， 这 里 只 检 测 探 测 一 下 的 工 具 ， 深 入 用 法 请 查 看 使 用 文 档 ， 这 里 只 检 测 探 测 一 下 启 动 （ 选 择 对 应 t o c m a t 进 程 p i d ） m b e a n ( 查 看   M b e a n   的 信 息 ， 查 看 异 常 F i l t e r / S e r v l e t 节 点 )
m b e a n   |   g r e p   " S e r v l e t " s c   ( 查 看 J V M 已 加 载 的 类 信 息 ) s c   x x x . *   模 糊 搜 索 类 s c   - d 查 看 查 看 p a y l o a d 加 载 的 类 信 息 加 载 的 类 信 息 查 看 查 看 x . A E S _ B A S E 6 4 类 加 载 的 类 信 息 类 加 载 的 类 信 息
j a d ( 反 编 译 指 定 已 加 载 类 的 源 码 ) j a d   类 名
还 有 很 多 用 法 值 得 慢 慢 学 习 ～ 查 杀 方 式 三 ： C O P A G E N T 由 于 V i s u a l V M 在 环 境 中 可 能 还 需 要 配 置 J V M   C o n n e c t i o n 远 程 调 试 ， 我 在 长 亭 一 篇 文 章 中 发 现 了 L a n d G r e y 师 傅 所 写 的 内 存 马 检 测 工 具 ， 经 过 在 本 地 T o m c a t 测 试 ， 可 以 检 测 到 我 自 己 设 置 的 内 存 马 ， 而 无 需 重 启 T o m c a t 服 务 （ 重 启 了 内 存 马 不 就 没 了 吗 ? ） 先 贴 上 G i t 地 址 h t t p s : / / g i t h u b . c o m / L a n d G r e y / c o p a g e n t 我 本 地 运 行 T o m c a t 服 务 ， 使 用 c o p . j a r 工 具 ， 工 具 首 先 会 识 别 你 正 在 运 行 的 应 用 列 举 出 来 由 你 自 己 选 择 I D ， 运 行 后 会 在 . c o p a g e n t 目 录 生 成 结 果
在 输 出 结 果 中 ， 可 以 查 看 异 常 类 ， 例 如 我 的 和 ， 他 会 显 示 所 有 运 行 的 类 以 及 危 险 等 级 ， 比 较 高 的 可 以 进 入 目 录 查 看 代 码 进 行 分 析 在 j a v a 或 c l a s s 文 件 夹 会 保 存 木 马 以 及 运 行 的 类 1 . j s p X . A E S _ B A S E 6 4
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理