蓝队技能-应急响应篇&Web内存马查杀&JVM分析&Class提取&诊断反编译&日志定性

知识点:

1、应急响应-Web内存马-定性&排查

2、应急响应-Web内存马-分析&日志

注:传统WEB类型的内存马只要网站重启后就清除了。

演示案例-蓝队技能-JAVA Web内存马-JVM分析&日志URL&内存查杀

0、环境搭建

参考地址:https://blog.csdn.net/weixin_45910254/article/details/129694499

安装tomcat

安装jdk

配置setclasspath.bat


启动startup.bat






1、查杀脚本-java-memshell-scanner

项目地址:https://github.com/c0ny1/java-memshell-scanner

通过jsp脚本扫描并查杀各类中间件内存马,比Java agent要温和一些。




要想删掉内存马直接点击kill即可

2、监控项目-arthas

项目地址:https://github.com/alibaba/arthas

arthas为一款监控诊断产品,通过全局视角实时查看应用load、内存、gc、线程的状态信息。可使用该工具对内存马排查和分析,如攻击者隐藏的深可将所有的类都反编译导出来然后逐一排查。

查看URL路由(看Servlet内存马,Filter看不到)

bash 复制代码
mbean | grep "name=/"



sc查看JVM 已加载的类信息

bash 复制代码
sc *.Filter






bash 复制代码
sc *.Servlet



有怀疑的就可以dump下来去分析源码

jad反编译指定已加载类的源码(在线看)

bash 复制代码
jad --source-only org.apache.coyote.type.PlaceholderForType


dump已加载类的bytecode到特定目录(下载)

bash 复制代码
dump org.apache.coyote.type.PlaceholderForType




能看到源码之后就分析源码中是否有跟webshell有关的代码,如果看不懂或者懒得看,可以把这个源码放到java文件里上传到微步在线分析



3、GUI项目

项目地址:https://github.com/4ra1n/shell-analyzer

实时监控目标JVM,一键反编译分析代码,一键查杀内存马


4、学习资料

https://github.com/Getshell/Mshell

相关推荐
真实的菜2 小时前
Jenkins 插件深度应用:让你的CI/CD流水线如虎添翼 [特殊字符]
servlet·ci/cd·jenkins
天天爱吃肉82186 小时前
ZigBee通信技术全解析:从协议栈到底层实现,全方位解读物联网核心无线技术
python·嵌入式硬件·物联网·servlet
Zz_waiting.1 天前
Javaweb - 10.1 Servlet
servlet·tomcat·javaweb
真实的菜2 天前
Jenkins生态与拓展:构建现代化DevOps工具链的终极指南
servlet·jenkins·devops
编程乐学(Arfan开发工程师)11 天前
73、单元测试-断言机制
服务器·数据库·servlet·单元测试·sqlite·log4j·mybatis
程序员的世界你不懂13 天前
将生成的报告通过jenkins发送邮件通知
java·servlet·jenkins
期待のcode13 天前
servlet前后端交互
servlet·交互
武子康13 天前
Java-52 深入浅出 Tomcat SSL工作原理 性能优化 参数配置 JVM优化
java·jvm·后端·servlet·性能优化·tomcat·ssl
程序员的世界你不懂14 天前
Windows下allure与jenkins的集成
windows·servlet·jenkins
编程乐学(Arfan开发工程师)15 天前
68、数据访问-crud实验-删除用户完成
服务器·前端·数据库·spring·servlet·sqlite·mybatis