当前位置：首页 > news >正文

JavaWeb 内存马查杀实战：Arthas 3步定位与shell-analyzer 1键清除

news 2026/7/9 18:59:14

JavaWeb内存马查杀实战：Arthas精准定位与shell-analyzer一键清除

1. 内存马威胁现状与核心挑战

在当今企业安全防护体系中，传统文件型Webshell的生存空间正被EDR、流量监测等安全设备急剧压缩。攻击者开始转向无文件攻击技术，其中内存马（Memory Shell）因其隐蔽性强、持久化难度高的特点，逐渐成为攻防对抗的主战场。

内存马与传统Webshell的核心差异体现在三个维度：

驻留位置：不依赖磁盘文件，直接注入到JVM内存中
检测难度：无落地文件特征，常规杀毒软件难以发现
生命周期：与Web容器进程绑定，重启即失效

根据注入技术差异，主流内存马可分为三类：

类型	技术实现	典型工具
Servlet API型	动态注册Filter/Servlet	冰蝎、哥斯拉
中间件组件型	篡改Valve/Interceptor等	Tomcat内存马
Java Agent型	字节码注入	Behinder

2. 基于Arthas的三步定位法

2.1 环境准备与快速接入

Arthas作为阿里开源的Java诊断工具，可通过以下命令快速接入目标JVM：

# 下载arthas-boot.jar curl -O https://arthas.aliyun.com/arthas-boot.jar # 附加到目标进程 java -jar arthas-boot.jar [目标PID]

提示：若无法直接访问目标服务器，可通过scp将arthas-boot.jar传输到目标环境后执行

2.2 关键检测命令组合

第一步：MBean异常检测

# 检查异常Servlet/Filter节点 mbean | grep -E "Servlet|Filter"

典型输出特征：

javax.servlet.Filter[name=恶意Filter, ...] org.apache.catalina.Valve[type=异常Valve]

第二步：类加载扫描

# 扫描所有Filter类 sc *.Filter # 扫描所有Servlet类 sc *.Servlet

可疑类特征：

类名包含随机字符串
反编译后存在Runtime.exec等危险方法

第三步：字节码反编译

# 反编译可疑类源码 jad --source-only 完整类名

示例输出：

public class EvilFilter implements Filter { public void doFilter(...) { String cmd = request.getParameter("x"); Runtime.getRuntime().exec(cmd); // 恶意代码片段 } }

2.3 内存快照分析

当怀疑存在深度隐藏的内存马时，可生成堆转储文件进一步分析：

# 生成堆转储文件 heapdump /tmp/heap.hprof # 下载到本地用MAT等工具分析

关键分析维度：

查找包含"cmd"、"shell"等关键词的字符串
检查FilterChainProxy等关键对象的引用链

3. shell-analyzer自动化查杀

3.1 工具架构解析

shell-analyzer采用Java Agent技术实现动态检测，其核心组件包括：

Attach机制：动态注入到目标JVM
字节码插桩：Hook关键类加载过程
规则引擎：识别常见内存马模式
GUI界面：可视化展示检测结果

3.2 实战操作流程

环境部署

# 启动GUI客户端 java -cp "tools.jar:gui.jar" com.n1ar4.Application

检测步骤

输入目标JVM的PID和认证密码
点击"刷新"获取实时类加载信息
在结果列表中右键可疑类进行深度分析

关键功能按钮说明：

反编译：查看类字节码源码
修复：自动移除恶意注入点
导出：保存证据到本地

3.3 技术原理深度解析

工具通过Instrumentation API实现了以下检测能力：

public class DetectorAgent { public static void premain(String args, Instrumentation inst) { inst.addTransformer((loader, className, classBeingRedefined, protectionDomain, classfileBuffer) -> { // 1. 匹配已知内存马特征 if (isMemshellClass(className)) { // 2. 记录恶意类信息 reportMaliciousClass(className); // 3. 可选：返回空字节数组使类加载失败 return null; } return classfileBuffer; }); } }

4. 防御体系建设建议

4.1 事前防护措施

代码层防护

<!-- 在web.xml中配置防护Filter --> <filter> <filter-name>SecurityFilter</filter-name> <filter-class>com.security.MemshellFilter</filter-class> </filter> <filter-mapping> <filter-name>SecurityFilter</filter-name> <url-pattern>/*</url-pattern> </filter-mapping>

运行时防护
- 启用SecurityManager限制反射调用
- 配置JVM参数禁止非法类加载：
```
-Djava.security.manager -Djava.security.policy==/path/to/security.policy
```

4.2 事中检测方案

推荐的多维度检测策略：

行为监控：记录异常类加载事件
流量分析：检测特定URL模式请求
内存扫描：定期执行Arthas检测脚本

自动化检测脚本示例：

#!/bin/bash # 定时检测内存马脚本 arthas_check() { echo "mbean | grep Filter" | java -jar arthas-client.jar echo "sc *.Servlet" | java -jar arthas-client.jar } # 每小时执行一次检测 while true; do arthas_check >> /var/log/memshell_scan.log sleep 3600 done

4.3 事后处置流程

确认内存马后的标准化处置步骤：

取证阶段
- 保存heapdump证据
- 记录恶意类加载器信息

清除阶段

# 使用shell-analyzer清除 java -jar shell-analyzer.jar remove -c 恶意类名 -p [PID] # 强制重启容器（终极方案） systemctl restart tomcat

加固阶段
- 更新中间件补丁
- 审计所有JSP文件
- 添加RASP防护

5. 高级对抗技巧

5.1 针对变形内存马的检测

新型内存马可能采用以下规避技术：

类名混淆：使用动态生成类名
字节码加密：运行时解密执行
反射调用：隐藏恶意代码

应对方案：

// 深度检测反射调用链 Method[] methods = targetClass.getDeclaredMethods(); for (Method m : methods) { if (m.getParameterTypes().length == 2 && m.getParameterTypes()[0] == ServletRequest.class) { // 标记可疑方法 } }