女人自慰AV免费观看内涵网,日韩国产剧情在线观看网址,神马电影网特片网,最新一级电影欧美,在线观看亚洲欧美日韩,黄色视频在线播放免费观看,ABO涨奶期羡澄,第一导航fulione,美女主播操b

電子發(fā)燒友App

硬聲App

0
  • 聊天消息
  • 系統(tǒng)消息
  • 評(píng)論與回復(fù)
登錄后你可以
  • 下載海量資料
  • 學(xué)習(xí)在線課程
  • 觀看技術(shù)視頻
  • 寫文章/發(fā)帖/加入社區(qū)
會(huì)員中心
創(chuàng)作中心

完善資料讓更多小伙伴認(rèn)識(shí)你,還能領(lǐng)取20積分哦,立即完善>

3天內(nèi)不再提示
創(chuàng)作
電子發(fā)燒友網(wǎng)>電子資料下載>電子資料>FindShell內(nèi)存馬查殺工具

FindShell內(nèi)存馬查殺工具

2022-05-06 | zip | 1.08 MB | 次下載 | 2積分

資料介紹

授權(quán)協(xié)議 Apache-2.0
開發(fā)語言 Java
操作系統(tǒng) 跨平臺(tái)
軟件類型 開源軟件
所屬分類 管理和監(jiān)控漏洞檢測(cè)掃描和評(píng)估

軟件簡(jiǎn)介

FindShell 是一個(gè)自動(dòng)的內(nèi)存馬查殺工具,可以用于普通內(nèi)存馬和Java Agent內(nèi)存馬。

尤其針對(duì)難以查殺的Java Agent型內(nèi)存馬,例如冰蝎等主流工具的內(nèi)存馬都是Java Agent

主要分為以下四步:

  • 利用JDK提供的sa-jdiAPI基于黑名單dump存在于JVM真正的字節(jié)碼
  • 這種字節(jié)碼在很多情況下是非法的,所以我修改了ASM源碼以分析非法字節(jié)碼
  • 基于ASM做普通的分析和模擬棧幀做深入的分析
  • 如果發(fā)現(xiàn)內(nèi)存馬將會(huì)嘗試自動(dòng)修復(fù)目標(biāo)(利用Java Agent動(dòng)態(tài)恢復(fù)原始字節(jié)碼)

檢測(cè)

基本檢測(cè):java -jar FindShell.jar --pid [目標(biāo)JVM的PID]

這個(gè)pid的獲取方式可以通過jps命令找到你需要的目標(biāo)JVMpid

這種情況下默認(rèn)必檢測(cè)的類有以下四個(gè)(最常見的Java Agent內(nèi)存馬出現(xiàn)的地方)

類名 方法名
javax/servlet/http/HttpServlet service
org/apache/catalina/core/ApplicationFilterChain doFilter
org/springframework/web/servlet/DispatcherServlet doService
org/apache/tomcat/websocket/server/WsFilter doFilter

并對(duì)以下的黑名單類進(jìn)行檢測(cè)(如果類名出現(xiàn)關(guān)鍵字則dump并分析該類字節(jié)碼)

keyword.add("shell");
keyword.add("memshell");
keyword.add("agentshell");
keyword.add("exploit");
keyword.add("payload");
keyword.add("rebeyond");
keyword.add("metasploit");

注意:

  • 修改org.sec.Constant代碼可以自定義黑名單和關(guān)鍵字
  • 加入--debug參數(shù)保留從JVMdump出的字節(jié)碼供自行分析
  • 并不是所有類的字節(jié)碼都可以dump成功,但常見的這些類測(cè)試中沒問題

修復(fù)

目前僅做了Java Agent內(nèi)存馬的自動(dòng)修復(fù),支持最常見的HttpServletApplicationFilterChain

檢測(cè)和修復(fù):java -jar FindShell.jar --pid [PID] --repair

根目錄存在一個(gè)RepairAgent.jar文件,這不屬于該項(xiàng)目,但我將代碼放在org.sec.repair包中供參考

注意:修復(fù)手段僅靶機(jī)測(cè)試成功,在真實(shí)環(huán)境中使用請(qǐng)慎重

原理

  • 為什么不直接用Java AgentAlibaba Arthas工具對(duì)JVM當(dāng)前字節(jié)碼進(jìn)行dump

Java Agent內(nèi)存馬是調(diào)用redefineClass方法對(duì)字節(jié)碼進(jìn)行修改的。而調(diào)用retransformClass方法的時(shí)候參數(shù)中的字節(jié)碼并不是調(diào)用redefineClass后被修改的類的字節(jié)碼。對(duì)于冰蝎來講,根本無法獲取被冰蝎修改后類的字節(jié)碼。我們自己寫Java Agent清除內(nèi)存馬的時(shí)候,同樣也是無法獲取到被redefineClass修改后的字節(jié)碼,只能獲取到被retransformClass修改后的字節(jié)碼。通過JavaassistASM工具獲取到類的字節(jié)碼,也只是讀取磁盤上響應(yīng)類的字節(jié)碼,而不是JVM中的字節(jié)碼

  • 那么怎樣獲得存在于JVM真正的字節(jié)碼

之前有寬字節(jié)安全的師傅提到利用sa-jdi工具對(duì)真正的當(dāng)前字節(jié)碼進(jìn)行dump后反編譯結(jié)合人工分析,該工具也是基于JDK自帶的sa-jdi庫實(shí)現(xiàn)的,不過加入了一些過濾的選項(xiàng)

  • 什么情況下這樣的字節(jié)碼為什么是非法的

當(dāng)目標(biāo)類存在lambda表達(dá)式的時(shí)候會(huì)導(dǎo)致非法字節(jié)碼,具體可以參考我的文章

  • 修改了哪些源碼以解析非法字節(jié)碼

參考連接:修改源碼說明

  • 為什么要結(jié)合普通字節(jié)碼分析和模擬棧幀分析兩種呢

因?yàn)?code>Runtime.exec這種調(diào)用很不常見且過程簡(jiǎn)單,用普通的字節(jié)碼分析即可解決。但是冰蝎的反射調(diào)用defineClass并反射invoke以實(shí)現(xiàn)代碼執(zhí)行效果的方式,過程比較復(fù)雜,且反射調(diào)用是程序中的常見功能,簡(jiǎn)單的分析會(huì)導(dǎo)致誤報(bào)

  • 什么是模擬棧幀分析

參考文章:詳解Java自動(dòng)代碼審計(jì)工具實(shí)現(xiàn)??基于污點(diǎn)分析的JSP Webshell檢測(cè)

免責(zé)聲明

工具僅用于安全研究以,由于使用該工具造成的任何后果使用者負(fù)責(zé)

?

下載該資料的人也在下載 下載該資料的人還在閱讀
更多 >

評(píng)論

查看更多

下載排行

本周

  1. 1山景DSP芯片AP8248A2數(shù)據(jù)手冊(cè)
  2. 1.06 MB  |  532次下載  |  免費(fèi)
  3. 2RK3399完整板原理圖(支持平板,盒子VR)
  4. 3.28 MB  |  339次下載  |  免費(fèi)
  5. 3TC358743XBG評(píng)估板參考手冊(cè)
  6. 1.36 MB  |  330次下載  |  免費(fèi)
  7. 4DFM軟件使用教程
  8. 0.84 MB  |  295次下載  |  免費(fèi)
  9. 5元宇宙深度解析—未來的未來-風(fēng)口還是泡沫
  10. 6.40 MB  |  227次下載  |  免費(fèi)
  11. 6迪文DGUS開發(fā)指南
  12. 31.67 MB  |  194次下載  |  免費(fèi)
  13. 7元宇宙底層硬件系列報(bào)告
  14. 13.42 MB  |  182次下載  |  免費(fèi)
  15. 8FP5207XR-G1中文應(yīng)用手冊(cè)
  16. 1.09 MB  |  178次下載  |  免費(fèi)

本月

  1. 1OrCAD10.5下載OrCAD10.5中文版軟件
  2. 0.00 MB  |  234315次下載  |  免費(fèi)
  3. 2555集成電路應(yīng)用800例(新編版)
  4. 0.00 MB  |  33566次下載  |  免費(fèi)
  5. 3接口電路圖大全
  6. 未知  |  30323次下載  |  免費(fèi)
  7. 4開關(guān)電源設(shè)計(jì)實(shí)例指南
  8. 未知  |  21549次下載  |  免費(fèi)
  9. 5電氣工程師手冊(cè)免費(fèi)下載(新編第二版pdf電子書)
  10. 0.00 MB  |  15349次下載  |  免費(fèi)
  11. 6數(shù)字電路基礎(chǔ)pdf(下載)
  12. 未知  |  13750次下載  |  免費(fèi)
  13. 7電子制作實(shí)例集錦 下載
  14. 未知  |  8113次下載  |  免費(fèi)
  15. 8《LED驅(qū)動(dòng)電路設(shè)計(jì)》 溫德爾著
  16. 0.00 MB  |  6656次下載  |  免費(fèi)

總榜

  1. 1matlab軟件下載入口
  2. 未知  |  935054次下載  |  免費(fèi)
  3. 2protel99se軟件下載(可英文版轉(zhuǎn)中文版)
  4. 78.1 MB  |  537798次下載  |  免費(fèi)
  5. 3MATLAB 7.1 下載 (含軟件介紹)
  6. 未知  |  420027次下載  |  免費(fèi)
  7. 4OrCAD10.5下載OrCAD10.5中文版軟件
  8. 0.00 MB  |  234315次下載  |  免費(fèi)
  9. 5Altium DXP2002下載入口
  10. 未知  |  233046次下載  |  免費(fèi)
  11. 6電路仿真軟件multisim 10.0免費(fèi)下載
  12. 340992  |  191187次下載  |  免費(fèi)
  13. 7十天學(xué)會(huì)AVR單片機(jī)與C語言視頻教程 下載
  14. 158M  |  183279次下載  |  免費(fèi)
  15. 8proe5.0野火版下載(中文版免費(fèi)下載)
  16. 未知  |  138040次下載  |  免費(fèi)