JavaWeb 内存马实战排查：Arthas 5大命令定位 Filter/Servlet 型后门

JavaWeb内存马实战排查：基于Arthas的Filter/Servlet型后门定位指南

在JavaWeb安全攻防对抗中，内存马（Memory Shell）已成为高级攻击者的首选武器。与传统文件型Webshell不同，内存马通过动态修改JVM运行时结构实现驻留，具有无文件落地、隐蔽性强、生命周期与Web应用同步等特点。本文将聚焦Tomcat环境下Filter/Servlet型内存马的实战排查，提供基于Arthas工具的完整诊断方案。

1. 内存马攻击特征与排查思路

1.1 内存马核心攻击路径

内存马通常通过以下三种方式注入：

• Servlet API注入：动态注册恶意Servlet组件
• Filter链污染：在过滤器链首部插入恶意Filter
• Listener劫持：利用事件监听机制执行恶意代码

以Filter型内存马为例，其攻击流程如下：

1. 利用反序列化/RCE漏洞获取初始权限
2. 通过反射获取StandardContext对象
3. 创建包含恶意逻辑的Filter实现类
4. 构造FilterDef和FilterMap对象
5. 将恶意Filter插入过滤器链头部

1.2 关键排查指标

2. Arthas排查实战

2.1 环境准备与基础命令

安装Arthas并附加到目标Java进程：

wget https://arthas.aliyun.com/arthas-boot.jar java -jar arthas-boot.jar

关键基础命令：

# 查看已加载类概况 sc *.Servlet sc *.Filter # 检查MBean注册情况 mbean | grep -E "Servlet|Filter" # 查看类加载器结构 classloader -t

2.2 Filter型内存马排查

步骤1：定位异常Filter

# 列出所有Filter实现类 sc --implement javax.servlet.Filter # 对比web.xml声明内容 cat $CATALINA_BASE/conf/web.xml | grep '<filter>'

步骤2：分析可疑Filter

# 反编译可疑类（示例：可疑类名为evil.Filter） jad --source-only evil.Filter # 查看类加载来源 classloader -c <classloaderHash>

步骤3：验证Filter映射

# 获取Filter映射关系 watch org.apache.catalina.core.StandardContext filterMaps

2.3 Servlet型内存马排查

步骤1：发现异常Servlet

# 列出所有Servlet实现 sc --implement javax.servlet.Servlet # 检查未注册的Servlet jad org.apache.catalina.core.StandardContext servletMappings

步骤2：分析Servlet逻辑

# 反编译可疑Servlet jad --source-only evil.Servlet # 查看URL映射 watch org.apache.catalina.core.StandardContext servletMappings

2.4 内存取证与深度分析

堆内存转储分析：

# 生成堆转储文件 heapdump /tmp/tomcat_heap.hprof # 使用MAT分析（需独立安装） strings /tmp/tomcat_heap.hprof | grep -E "doFilter|service"

字节码校验：

# 对比磁盘与内存中的类 jad --source-only javax.servlet.Filter > /tmp/Filter_source.txt diff /tmp/Filter_source.txt $CATALINA_HOME/lib/servlet-api.jar!javax/servlet/Filter.class

3. 自动化排查脚本

3.1 Filter检测脚本

#!/bin/bash # 检测异常Filter arthas-boot.jar <<EOF sc --implement javax.servlet.Filter | grep -v "org.apache." | tee /tmp/filters.txt jad --source-only $(cat /tmp/filters.txt) | grep -l "Runtime.getRuntime()" /tmp/filters.txt EOF

3.2 Servlet检测脚本

import subprocess import re def check_servlets(): result = subprocess.run(['java', '-jar', 'arthas-boot.jar', '--command', 'sc --implement javax.servlet.Servlet'], capture_output=True, text=True) servlets = [line.split()[0] for line in result.stdout.splitlines() if not line.startswith('org.apache.')] suspicious = [] for servlet in servlets: decompile = subprocess.run(['java', '-jar', 'arthas-boot.jar', '--command', f'jad --source-only {servlet}'], capture_output=True, text=True) if 'ProcessBuilder' in decompile.stdout or 'Runtime.exec' in decompile.stdout: suspicious.append(servlet) return suspicious

3.3 内存马特征决策树

开始 ├─ 是否存在未在web.xml中声明的Filter/Servlet？ │ ├─ 是 → 高危 │ └─ 否 → 进入下一步 ├─ 类是否由非WebappClassLoader加载？ │ ├─ 是 → 高危 │ └─ 否 → 进入下一步 ├─ 字节码是否包含危险方法调用？ │ ├─ 是 → 高危 │ └─ 否 → 进入下一步 └─ 是否在StandardContext中有动态修改痕迹？ ├─ 是 → 高危 └─ 否 → 安全

4. 防御与处置建议

4.1 即时处置措施

1. 内存马清除：

   # 使用c0ny1的java-memshell-scanner wget https://github.com/c0ny1/java-memshell-scanner/releases/download/v1.0/scanner.jar java -jar scanner.jar -p <PID> -k

2. 服务重启：

   # 强制重启Tomcat（会清除所有内存马） $CATALINA_HOME/bin/shutdown.sh -force $CATALINA_HOME/bin/startup.sh

4.2 长期防御方案

架构层防护：

• 启用RASP（运行时应用自我保护）
• 部署WAF规则拦截可疑的反射调用请求
• 限制JVM的反射权限

运维监控：

# 定期扫描脚本示例 #!/bin/bash while true; do arthas-boot.jar --command 'sc *.Filter' | diff - filter_whitelist.txt sleep 3600 done

提示：完整防御体系应结合静态规则检测（YARA）、动态行为监控（RASP）和流量分析（NTA）构建多层防护

5. 高级排查技巧

5.1 溯源攻击入口

# 检查最近修改的class文件 find $CATALINA_BASE/webapps -name "*.class" -mtime -1 # 分析access.log中的可疑请求 awk '$9 ~ /200/ {print $7}' $CATALINA_BASE/logs/localhost_access_log.* | sort | uniq -c | sort -nr

5.2 深度字节码分析

使用JD-GUI或FernFlower反编译可疑类：

// 典型内存马特征代码片段 public void doFilter(ServletRequest req, ServletResponse res) { String cmd = req.getParameter("exec"); if(cmd != null) { try { Runtime.getRuntime().exec(cmd); } catch(Exception e) {} } }

5.3 历史行为追溯

# 检查已卸载但仍有引用的类 vmtool --action getInstances --className evil.Filter --limit 10

在真实对抗环境中，我们发现攻击者开始采用以下规避技术：

• 使用Java Agent技术实现无反射注入
• 通过JNI调用本地代码绕过检测
• 利用WebSocket等非HTTP协议通信

保持防御策略的持续演进是应对内存马威胁的关键。建议每季度更新一次检测规则，并定期进行红蓝对抗演练。