红队视角下Java内存马的应用和测试（版本V2）

0x00声明

0x00声明

0x01前言

近年来，在攻防演练中积累了丰富的实战经验。内存马技术作为网络安全领域的核心技术之一，在防护环节发挥着不可或缺的作用。相较于传统websHELL技术而言，内存马具备更强的规避传统安全探测设备的能力。它通常用于实现短暂驻留、规避安全监控、长期保持在目标服务器上的状态。本次着重结合攻防演练积累的经验进行深入分析和探讨。

0x02 内存马原理

在阐述这一原理之前, 我们普遍存在的一个疑虑是, 在获取到一个webshell实例时, 总会存在一种担忧: 这种脚本会被管理员或者其它攻击团队察觉, 因而无法实现对目标主机的持久化控制。因此深入掌握内存马机制变得尤为关键, Java内存马类型大致如下:

其原理在于客户端向网络发送一个Web请求，在这种情况下, 中间件中的独立组件包括Listener、Filter和Servlet会在请求处理过程中执行相应的监听功能, 进行判断操作以及过滤处理。此外, 内存马会利用请求过程, 在内存中修改现有的组件并动态地注册新的组件, 从而通过注入恶意shell代码来实现对服务器的持续控制