电子发烧友App

硬声App

0
  • 聊天消息
  • 系统消息
  • 评论与回复
登录后你可以
  • 下载海量资料
  • 学习在线课程
  • 观看威廉希尔官方网站 视频
  • 写文章/发帖/加入社区
会员中心
创作中心

完善资料让更多小伙伴认识你,还能领取20积分哦,立即完善>

3天内不再提示
创作
电子发烧友网>电子资料下载>电子资料>FindShell内存马查杀工具

FindShell内存马查杀工具

2022-05-06 | zip | 1.08 MB | 次下载 | 2积分

资料介绍

授权协议 Apache-2.0
开发语言 Java
操作系统 跨平台
软件类型 开源软件
所属分类 管理和监控漏洞检测扫描和评估

软件简介

FindShell 是一个自动的内存马查杀工具,可以用于普通内存马和Java Agent内存马。

尤其针对难以查杀的Java Agent型内存马,例如冰蝎等主流工具的内存马都是Java Agent

主要分为以下四步:

  • 利用JDK提供的sa-jdiAPI基于黑名单dump存在于JVM真正的字节码
  • 这种字节码在很多情况下是非法的,所以我修改了ASM源码以分析非法字节码
  • 基于ASM做普通的分析和interwetten与威廉的赔率体系 栈帧做深入的分析
  • 如果发现内存马将会尝试自动修复目标(利用Java Agent动态恢复原始字节码)

检测

基本检测:java -jar FindShell.jar --pid [目标JVM的PID]

这个pid的获取方式可以通过jps命令找到你需要的目标JVMpid

这种情况下默认必检测的类有以下四个(最常见的Java Agent内存马出现的地方)

类名 方法名
javax/servlet/http/HttpServlet service
org/apache/catalina/core/ApplicationFilterChain doFilter
org/springframework/web/servlet/DispatcherServlet doService
org/apache/tomcat/websocket/server/WsFilter doFilter

并对以下的黑名单类进行检测(如果类名出现关键字则dump并分析该类字节码)

keyword.add("shell");
keyword.add("memshell");
keyword.add("agentshell");
keyword.add("exploit");
keyword.add("payload");
keyword.add("rebeyond");
keyword.add("metasploit");

注意:

  • 修改org.sec.Constant代码可以自定义黑名单和关键字
  • 加入--debug参数保留从JVMdump出的字节码供自行分析
  • 并不是所有类的字节码都可以dump成功,但常见的这些类测试中没问题

修复

目前仅做了Java Agent内存马的自动修复,支持最常见的HttpServletApplicationFilterChain

检测和修复:java -jar FindShell.jar --pid [PID] --repair

根目录存在一个RepairAgent.jar文件,这不属于该项目,但我将代码放在org.sec.repair包中供参考

注意:修复手段仅靶机测试成功,在真实环境中使用请慎重

原理

  • 为什么不直接用Java AgentAlibaba Arthas工具对JVM当前字节码进行dump

Java Agent内存马是调用redefineClass方法对字节码进行修改的。而调用retransformClass方法的时候参数中的字节码并不是调用redefineClass后被修改的类的字节码。对于冰蝎来讲,根本无法获取被冰蝎修改后类的字节码。我们自己写Java Agent清除内存马的时候,同样也是无法获取到被redefineClass修改后的字节码,只能获取到被retransformClass修改后的字节码。通过JavaassistASM工具获取到类的字节码,也只是读取磁盘上响应类的字节码,而不是JVM中的字节码

  • 那么怎样获得存在于JVM真正的字节码

之前有宽字节安全的师傅提到利用sa-jdi工具对真正的当前字节码进行dump后反编译结合人工分析,该工具也是基于JDK自带的sa-jdi库实现的,不过加入了一些过滤的选项

  • 什么情况下这样的字节码为什么是非法的

当目标类存在lambda表达式的时候会导致非法字节码,具体可以参考我的文章

  • 修改了哪些源码以解析非法字节码

参考连接:修改源码说明

  • 为什么要结合普通字节码分析和模拟栈帧分析两种呢

因为Runtime.exec这种调用很不常见且过程简单,用普通的字节码分析即可解决。但是冰蝎的反射调用defineClass并反射invoke以实现代码执行效果的方式,过程比较复杂,且反射调用是程序中的常见功能,简单的分析会导致误报

  • 什么是模拟栈帧分析

参考文章:详解Java自动代码审计工具实现  基于污点分析的JSP Webshell检测

免责声明

工具仅用于安全研究以,由于使用该工具造成的任何后果使用者负责

 

下载该资料的人也在下载 下载该资料的人还在阅读
更多 >

评论

查看更多

下载排行

本周

  1. 1山景DSP芯片AP8248A2数据手册
  2. 1.06 MB  |  532次下载  |  免费
  3. 2RK3399完整板原理图(支持平板,盒子VR)
  4. 3.28 MB  |  339次下载  |  免费
  5. 3TC358743XBG评估板参考手册
  6. 1.36 MB  |  330次下载  |  免费
  7. 4DFM软件使用教程
  8. 0.84 MB  |  295次下载  |  免费
  9. 5元宇宙深度解析—未来的未来-风口还是泡沫
  10. 6.40 MB  |  227次下载  |  免费
  11. 6迪文DGUS开发指南
  12. 31.67 MB  |  194次下载  |  免费
  13. 7元宇宙底层硬件系列报告
  14. 13.42 MB  |  182次下载  |  免费
  15. 8FP5207XR-G1中文应用手册
  16. 1.09 MB  |  178次下载  |  免费

本月

  1. 1OrCAD10.5下载OrCAD10.5中文版软件
  2. 0.00 MB  |  234315次下载  |  免费
  3. 2555集成电路应用800例(新编版)
  4. 0.00 MB  |  33566次下载  |  免费
  5. 3接口电路图大全
  6. 未知  |  30323次下载  |  免费
  7. 4开关电源设计实例指南
  8. 未知  |  21549次下载  |  免费
  9. 5电气工程师手册免费下载(新编第二版pdf电子书)
  10. 0.00 MB  |  15349次下载  |  免费
  11. 6数字电路基础pdf(下载)
  12. 未知  |  13750次下载  |  免费
  13. 7电子制作实例集锦 下载
  14. 未知  |  8113次下载  |  免费
  15. 8《LED驱动电路设计》 温德尔著
  16. 0.00 MB  |  6656次下载  |  免费

总榜

  1. 1matlab软件下载入口
  2. 未知  |  935054次下载  |  免费
  3. 2protel99se软件下载(可英文版转中文版)
  4. 78.1 MB  |  537798次下载  |  免费
  5. 3MATLAB 7.1 下载 (含软件介绍)
  6. 未知  |  420027次下载  |  免费
  7. 4OrCAD10.5下载OrCAD10.5中文版软件
  8. 0.00 MB  |  234315次下载  |  免费
  9. 5Altium DXP2002下载入口
  10. 未知  |  233046次下载  |  免费
  11. 6电路仿真软件multisim 10.0免费下载
  12. 340992  |  191187次下载  |  免费
  13. 7十天学会AVR单片机与C语言视频教程 下载
  14. 158M  |  183279次下载  |  免费
  15. 8proe5.0野火版下载(中文版免费下载)
  16. 未知  |  138040次下载  |  免费