JavaWeb内存马查杀实战：Arthas精准定位与shell-analyzer一键清除

1. 内存马威胁现状与核心挑战

在当今企业安全防护体系中，传统文件型Webshell的生存空间正被EDR、流量监测等安全设备急剧压缩。攻击者开始转向无文件攻击技术，其中内存马（Memory Shell）因其隐蔽性强、持久化难度高的特点，逐渐成为攻防对抗的主战场。

内存马与传统Webshell的核心差异体现在三个维度：

• 驻留位置：不依赖磁盘文件，直接注入到JVM内存中
• 检测难度：无落地文件特征，常规杀毒软件难以发现
• 生命周期：与Web容器进程绑定，重启即失效

根据注入技术差异，主流内存马可分为三类：

2. 基于Arthas的三步定位法

2.1 环境准备与快速接入

Arthas作为阿里开源的Java诊断工具，可通过以下命令快速接入目标JVM：

# 下载arthas-boot.jar curl -O https://arthas.aliyun.com/arthas-boot.jar # 附加到目标进程 java -jar arthas-boot.jar [目标PID]

提示：若无法直接访问目标服务器，可通过scp将arthas-boot.jar传输到目标环境后执行

2.2 关键检测命令组合

第一步：MBean异常检测

# 检查异常Servlet/Filter节点 mbean | grep -E "Servlet|Filter"

典型输出特征：

javax.servlet.Filter[name=恶意Filter, ...] org.apache.catalina.Valve[type=异常Valve]

第二步：类加载扫描

# 扫描所有Filter类 sc *.Filter # 扫描所有Servlet类 sc *.Servlet

可疑类特征：

• 类名包含随机字符串
• 反编译后存在Runtime.exec等危险方法

第三步：字节码反编译

# 反编译可疑类源码 jad --source-only 完整类名

示例输出：

public class EvilFilter implements Filter { public void doFilter(...) { String cmd = request.getParameter("x"); Runtime.getRuntime().exec(cmd); // 恶意代码片段 } }

2.3 内存快照分析

当怀疑存在深度隐藏的内存马时，可生成堆转储文件进一步分析：

# 生成堆转储文件 heapdump /tmp/heap.hprof # 下载到本地用MAT等工具分析

关键分析维度：

• 查找包含"cmd"、"shell"等关键词的字符串
• 检查FilterChainProxy等关键对象的引用链

3. shell-analyzer自动化查杀

3.1 工具架构解析

shell-analyzer采用Java Agent技术实现动态检测，其核心组件包括：

1. Attach机制：动态注入到目标JVM
2. 字节码插桩：Hook关键类加载过程
3. 规则引擎：识别常见内存马模式
4. GUI界面：可视化展示检测结果

3.2 实战操作流程

环境部署

# 启动GUI客户端 java -cp "tools.jar:gui.jar" com.n1ar4.Application

检测步骤

1. 输入目标JVM的PID和认证密码
2. 点击"刷新"获取实时类加载信息
3. 在结果列表中右键可疑类进行深度分析

关键功能按钮说明：

• 反编译：查看类字节码源码
• 修复：自动移除恶意注入点
• 导出：保存证据到本地

3.3 技术原理深度解析

工具通过Instrumentation API实现了以下检测能力：

public class DetectorAgent { public static void premain(String args, Instrumentation inst) { inst.addTransformer((loader, className, classBeingRedefined, protectionDomain, classfileBuffer) -> { // 1. 匹配已知内存马特征 if (isMemshellClass(className)) { // 2. 记录恶意类信息 reportMaliciousClass(className); // 3. 可选：返回空字节数组使类加载失败 return null; } return classfileBuffer; }); } }

4. 防御体系建设建议

4.1 事前防护措施

• 代码层防护

  <!-- 在web.xml中配置防护Filter --> <filter> <filter-name>SecurityFilter</filter-name> <filter-class>com.security.MemshellFilter</filter-class> </filter> <filter-mapping> <filter-name>SecurityFilter</filter-name> <url-pattern>/*</url-pattern> </filter-mapping>

• 运行时防护

  • 启用SecurityManager限制反射调用
  • 配置JVM参数禁止非法类加载：

    -Djava.security.manager -Djava.security.policy==/path/to/security.policy

4.2 事中检测方案

推荐的多维度检测策略：

1. 行为监控：记录异常类加载事件
2. 流量分析：检测特定URL模式请求
3. 内存扫描：定期执行Arthas检测脚本

自动化检测脚本示例：

#!/bin/bash # 定时检测内存马脚本 arthas_check() { echo "mbean | grep Filter" | java -jar arthas-client.jar echo "sc *.Servlet" | java -jar arthas-client.jar } # 每小时执行一次检测 while true; do arthas_check >> /var/log/memshell_scan.log sleep 3600 done

4.3 事后处置流程

确认内存马后的标准化处置步骤：

1. 取证阶段

   • 保存heapdump证据
   • 记录恶意类加载器信息

2. 清除阶段

   # 使用shell-analyzer清除 java -jar shell-analyzer.jar remove -c 恶意类名 -p [PID] # 强制重启容器（终极方案） systemctl restart tomcat

3. 加固阶段

   • 更新中间件补丁
   • 审计所有JSP文件
   • 添加RASP防护

5. 高级对抗技巧

5.1 针对变形内存马的检测

新型内存马可能采用以下规避技术：

• 类名混淆：使用动态生成类名
• 字节码加密：运行时解密执行
• 反射调用：隐藏恶意代码

应对方案：

// 深度检测反射调用链 Method[] methods = targetClass.getDeclaredMethods(); for (Method m : methods) { if (m.getParameterTypes().length == 2 && m.getParameterTypes()[0] == ServletRequest.class) { // 标记可疑方法 } }

5.2 性能优化建议

在大流量场景下的检测优化：

1. 采样检测：不对所有请求做深度检查
2. 缓存机制：记住已检测的安全类
3. 异步分析：不影响主业务流程

性能对比测试数据：

在实际项目经验中，建议结合企业RASP方案构建多层防御体系。曾遇到某金融案例，攻击者通过精心构造的Filter链实现深度隐藏，最终是通过Arthas的heapdump命令结合MAT分析工具才成功定位到恶意代码注入点。这提醒我们，内存马的查杀需要工具链的协同作战，单一检测手段往往难以应对高级威胁。