应急响应过程内存WEBSHELL分析与排查

还能冲动，表示你还对生活有激情，总是冲动，表示你还不懂生活。

• 内存马分类

这里以shiro反序列化漏洞为例，植入内存webshell进行分析。

植入成功后，我们先用arthas进行分析。对于利用漏洞植入的Servlet类型的内存马，直接查看Servlet可以看到异常：

sc javax.servlet.Servlet

使用cop.jar，也能检测到：

在实际应急过程，如果从cop.jar的结果中无法直观地看出异常，我们可以把里面的文件复制出来查看内容,搜索关键字或者使用其他工具进行扫描。

首先将所有导出的java文件复制到目录java_file(目录可以自己随意创建)：

for file in `find .copagent/ -type f -name *.java`;do cp  $file java_file/;done

然后使用grep 搜索关键字：

grep -r  -E "String k|String xc|shell|memshell|agentshell|exploit|payload|rebeyond|metasploit" java_file/

这里之所以复制出来查看，是因为dump的有些类里面可能包含$符号，直接用命令行的一些工具会报错。

在实际分析过程，可能还会用到arthas的一些其他命令，下面是一些常用的命令：

sc javax.servlet.Servlet  查看servlet
sc javax.servlet.Filter  查看Filter
sc javax.servlet.ServletRequestListener  查看Listener
sc org.apache.catalina.valves.ValveBase  Valve型

classloader  加上-t参数，有时候有内存马的情况下会报空指针错误。

如果是tomcat环境，也可以用脚本tomcat-memshell-scanner.jsp（项目地址：https://github.com/c0ny1/java-memshell-scanner）进行扫描，但上面的测试过程发现利用反序列化漏洞植入的Servlet和Filter类型的内存马没有扫描出来：

使用哥斯拉客户端植入的内存马，本质还是servlet类型：

使用jad命令，可以看到哥斯拉的代码痕迹：

jad --source-only org.apache.coyote.ser.impl.PropertySerializerMap

对于servlet，Filter及Listener类型的内存马，重启服务可达到清理的效果。虽然不太优雅，但是简单直接且高效，有时候也没必要太过于追求完美，能有效解决问题即可。

冰蝎客户端注入的为agent类型的内存马：

冰蝎客户端植入的内存马，查看servlet无法直接发现异常，但在javax.servlet.http.HttpServlet类中会存在痕迹，我们可以使用arthas查看：

使用jad查看源代码，可以发现冰蝎webshell代码的痕迹：

jad --source-only javax.servlet.http.HttpServlet

对于利用反序列化漏洞直接植入的内存马，这种方法无效，因为没有上下文，可能存在误报。

对于通过哥斯拉客户端植入也无效，因为没有明显的和内存马相关的关键字，文件webshell执行，也会在内存中留下特征：

对于通过冰蝎客户端植入，能看到内存马相关的关键字，以及文件webshell执行过的痕迹（不注入内存马也存在，但没有上面2个类）：

要查看内存马的URL，可使用arthas的mbean命令（冰蝎客户端植入的看不到），下图是哥斯拉客户端植入内存马的mbean：