蓝队技能-应急响应篇Web内存马查杀JVM分析Class提取诊断反编译日志定性

ops/2024/11/13 15:20:15/

知识点:
1、应急响应-Web内存马-定性&排查
2、应急响应-Web内存马-分析&日志

注:传统WEB类型的内存马只要网站重启后就清除了。
在这里插入图片描述

演示案例-蓝队技能-JAVA Web内存马-JVM分析&日志URL&内存查杀

0、环境搭建

参考地址:https://blog.csdn.net/weixin_45910254/article/details/129694499

安装tomcat

安装jdk

配置setclasspath.bat

在这里插入图片描述
在这里插入图片描述

启动startup.bat

在这里插入图片描述
在这里插入图片描述

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

1、查杀脚本-java-memshell-scanner

项目地址:https://github.com/c0ny1/java-memshell-scanner
通过jsp脚本扫描并查杀各类中间件内存马,比Java agent要温和一些。
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
要想删掉内存马直接点击kill即可
在这里插入图片描述

2、监控项目-arthas

项目地址:https://github.com/alibaba/arthas
arthas为一款监控诊断产品,通过全局视角实时查看应用load、内存、gc、线程的状态信息。可使用该工具对内存马排查和分析,如攻击者隐藏的深可将所有的类都反编译导出来然后逐一排查。
在这里插入图片描述
在这里插入图片描述

ServletFilter_39">查看URL路由(看Servlet内存马,Filter看不到)

mbean | grep "name=/"

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

sc查看JVM 已加载的类信息

sc *.Filter

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

sc *.Servlet

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
有怀疑的就可以dump下来去分析源码

jad反编译指定已加载类的源码(在线看)

jad --source-only org.apache.coyote.type.PlaceholderForType

在这里插入图片描述
在这里插入图片描述

dump已加载类的bytecode到特定目录(下载)

dump org.apache.coyote.type.PlaceholderForType

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
能看到源码之后就分析源码中是否有跟webshell有关的代码,如果看不懂或者懒得看,可以把这个源码放到java文件里上传到微步在线分析
在这里插入图片描述

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

3、GUI项目

项目地址:https://github.com/4ra1n/shell-analyzer
实时监控目标JVM,一键反编译分析代码,一键查杀内存马
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

4、学习资料

https://github.com/Getshell/Mshell


http://www.ppmy.cn/ops/113744.html

相关文章

Django-cookie和session

文章目录 前言CookieSession 一、Django 中 Cookie二、Django 中 Session三.区别 前言 Cookie Cookie 是由服务器发送到用户浏览器的小文件,用于存储用户的相关信息。每次用户访问网站时,浏览器会将这些 cookie 发送回服务器 特点: 1. 数据存储在客户…

麒麟操作系统 MySQL 主从搭建

MySQL rpm64 架构搭建主从 文章目录 1.检查操作系统2.配置基础环境3.下载软件并安装4. 服务初始化5 主从搭建5.1 主节点配置(192.168.31.82)5.2 从节点配置(192.168.31.83)5.3 从节点配置(192.168.31.84)5.4 节点都重启5.5 在主机上建立帐户并授权slave5.6 salve 来同步master…

Oracle(137)如何管理UNDO表空间?

管理UNDO表空间是Oracle数据库管理的重要组成部分,涉及监控UNDO使用情况、调整UNDO表空间大小、配置UNDO保留策略等方面。以下是一些关键的管理任务和相应的SQL命令示例。 监控UNDO表空间的使用情况 监控UNDO表空间使用情况对于优化性能和避免空间不足的情况非常重…

【Mysql】为modified_time和created_time设置默认值

建立表SQL: CREATE TABLE your_table_name (id int(11) NOT NULL AUTO_INCREMENT,/* 其他字段 */created_time datetime DEFAULT CURRENT_TIMESTAMP COMMENT 创建日期,modified_time datetime DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP COMMENT 修改…

Pyspark dataframe基本内置方法(5)

文章目录 Pyspark sql DataFrame相关文章toDF 设置新列名toJSON row对象转换json字符串toLocallterator 获取迭代器toPandas 转换python dataframetransform dataframe转换union unionALL 并集不去重(按列顺序)unionByName 并集不去重(按列名…

【Webpack--013】SourceMap源码映射设置

🤓😍Sam9029的CSDN博客主页:Sam9029的博客_CSDN博客-前端领域博主 🐱‍🐉若此文你认为写的不错,不要吝啬你的赞扬,求收藏,求评论,求一个大大的赞!👍* &#x…

mysql笔记—sql性能分析

1.查看数据库各个语句的执行频次 show global/session status like ‘com__’ 2.慢查询 默认没有开启,需要手动开启(在/etc/my.cnf中开启) 开启后在localhost-slow.log中可以查询到慢查询的语句的相关信息: 3.explain 用法&…

ASP .NET CORE 6 项目实现WebSocket通信实践

一、简介 WebSocket 是一种计算机通信协议,提供了全双工通信通道,特别适用于需要频繁更新数据的应用,如实时聊天、在线游戏和股票行情等。它在 Web 应用中有着广泛的应用,因为它能够在客户端和服务器之间建立持久连接,…