Tomcat Valve内存马技术详解

1. Valve基础概念

1.1 什么是Valve

Valve是Tomcat容器架构中的核心拦截器组件，作为一种底层钩子机制，允许在请求处理管道的不同阶段插入自定义处理逻辑。虽然功能上与Servlet规范中的Filter类似，但Valve存在于更底层的容器级别，具有更高的执行优先级和更广的影响范围。

1.2 Valve的核心特性

执行位置与时机

• 在Tomcat容器级别执行，不依赖于具体的Web应用
• 位于请求处理管道的特定拦截点，作为容器内部处理链的一环
• 在Servlet和Filter之前执行，具有优先处理权
• 能够拦截和修改所有流经该容器的请求和响应对象

作用范围与层级影响

1.3 Valve与Filter的区别

2. Tomcat容器架构深度解析

2.1 四大核心容器

Engine（引擎）

• 层级位置：第一级容器
• 核心职责：所有HTTP请求的入口容器，负责请求的初步路由
• 功能特点：根据HTTP请求头中的Host字段确定对应的虚拟主机
• 包含关系：一个Engine包含多个Host（虚拟主机）

Host（主机）

• 层级位置：第二级容器，代表虚拟主机
• 核心职责：根据域名管理对应的所有Web应用程序
• 功能特点：根据请求的URL路径找到对应的Web应用（Context）
• 包含关系：一个Host包含多个Context（Web应用程序）

Context（上下文）

• 层级位置：第三级容器，代表独立的Web应用程序
• 核心职责：管理Web应用的生命周期和运行环境
• 功能特点：负责请求到具体Servlet的映射，包含多个Servlet和Filter
• 包含关系：一个Context包含多个Wrapper

Wrapper（包装器）

• 层级位置：第四级容器，最底层容器
• 核心职责：对单个Servlet实例进行生命周期管理和服务调用
• 功能特点：包装具体的Servlet，调用service()方法处理请求
• 特殊说明：Wrapper层级没有Valve，使用Filter代替

2.2 顶层架构组件

Server实例

• Tomcat的最顶层实例，代表完整的Tomcat服务器进程
• 提供统一的运行时环境和全局生命周期管理
• 包含和管理所有的Service组件

Service服务组件

• Server内部的逻辑组合单元，实现功能模块化
• 核心作用是将Connector和Engine进行绑定
• 支持多个Service实例并存，各自独立处理不同协议

Connector连接器组件

• 负责网络层通信，监听特定端口（如8080、8443）
• 接收原始HTTP请求，进行协议解析和数据包处理
• 将网络请求转换为Tomcat内部的Request/Response对象

2.3 Tomcat层级结构

Server (服务器实例)
└── Service (服务单元)
    ├── Connector (连接器) - 非容器-网络接入组件
    └── Engine (引擎容器) - 第一级容器
        └── Host (虚拟主机) - 第二级容器
            └── Context (应用上下文) - 第三级容器
                └── Wrapper (servlet包装器) - 第四级容器
                    └── Servlet (业务处理器) - 具体任务执行

3. HTTP请求处理流程

3.1 完整处理流程

1. HTTP请求到达 → 请求进入Tomcat服务器管辖范围
2. Server实例 → Tomcat服务器顶层容器接收请求
3. Service服务 → 确定处理该请求的服务单元
4. Connector连接器 → 接收并解析原始请求，生成内部Request/Response对象
5. Engine引擎 → 根据Host请求头域名进行智能分发，找到对应虚拟主机
6. Host虚拟主机 → 根据URL路径进行精确路由，定位到具体Web应用
7. Context应用上下文 → 加载并管理Web应用资源，准备业务处理环境
8. Wrapper包装器 → 调用具体Servlet实例处理业务逻辑
9. Servlet执行 → 执行具体业务代码，生成响应数据
10. 返回HTTP响应 → 将处理结果封装为HTTP响应，返回客户端

3.2 容器间通信机制：Pipeline与Valve模式

Pipeline（管道）

• Tomcat容器内部的组件，维护Valve链表
• 负责按顺序执行Valve，确保最终执行基础Valve（Basic Valve）
• 将请求传递到下一个容器

Valve（阀门）

• 处理请求的具体单元，可对请求进行加工、检查、记录等操作
• 决定是否继续执行下一个Valve
• BasicValve是管道末端的核心处理器

3.3 请求在容器间的详细传递流程

Connector接收阶段

• Connector接收到网络请求，创建Request和Response对象
• 调用Engine容器的Pipeline开始处理流程

Engine容器处理阶段

• Engine的Pipeline中的各个Valve依次执行
• 每个Valve对请求进行预处理或检查
• 通过基础Valve（StandardEngineValve）将请求传递给匹配的Host容器

Host容器处理阶段

• Host的Pipeline中的Valve链依次执行，完成主机级别处理
• 通过基础Valve（StandardHostValve）将请求传递给匹配的Context容器

Context容器处理阶段

• Context的Pipeline执行应用级别的Valve处理链
• 通过基础Valve（StandardContextValve）将请求传递给匹配的Wrapper容器

Wrapper容器处理阶段

• Wrapper的Pipeline执行Servlet级别的预处理
• 通过基础Valve（StandardWrapperValve）调用目标Servlet的service方法

响应返回阶段

• Servlet处理完成后，响应沿原路径逆向返回
• 各Valve有机会对响应进行后处理
• 最终通过Connector将响应发送回客户端

4. Valve实践开发

4.1 环境要求

• JDK版本：主要考虑Tomcat与JDK的版本兼容性
• 推荐环境：Java 17 + Tomcat 9.0.107

4.2 自定义XSS防护Valve实现

项目结构

创建标准的Maven Web项目，pom.xml配置引入Tomcat相关依赖包。

XSSValve.java代码实现

package com.test;

import org.apache.catalina.connector.Request;
import org.apache.catalina.connector.Response;
import org.apache.catalina.valves.ValveBase;
import javax.servlet.ServletException;
import java.io.IOException;
import java.util.Enumeration;

/**
 * 简单的XSS防护阀门类
 */
public class XSSValve extends ValveBase {
    
    /**
     * 重写invoke方法 - 阀门的核心处理方法
     * 这是Valve接口必须实现的方法，在请求处理过程中被调用
     */
    @Override
    public void invoke(Request request, Response response) throws IOException, ServletException {
        try {
            // 获取请求中所有的参数名称枚举
            Enumeration<String> paramNames = request.getParameterNames();
            
            // 遍历所有参数名称
            while (paramNames.hasMoreElements()) {
                String paramName = paramNames.nextElement();
                // 获取指定参数名称的所有值（支持多值参数）
                String[] values = request.getParameterValues(paramName);
                
                // 遍历参数的每个值
                for (String value : values) {
                    // 检查参数值是否包含XSS攻击特征
                    if (value != null && value.toLowerCase().contains("script")) {
                        // 检测到XSS攻击，重置响应状态
                        response.reset();
                        response.setStatus(200);
                        response.setContentType("text/html;charset=UTF-8");
                        // 返回XSS攻击警告信息
                        response.getWriter().println("XSS attack detected!");
                        // 直接返回，中断请求处理流程
                        return;
                    }
                }
            }
            
            // 无XSS攻击，继续执行管道中的下一个阀门
            getNext().invoke(request, response);
        } catch (Exception e) {
            e.printStackTrace();
        }
    }
}

技术要点说明

• 继承ValveBase类，这是Tomcat提供的Valve基础实现类
• 重写invoke方法，这是Valve的核心处理方法
• 使用getNext().invoke()继续执行管道中的下一个Valve
• 检测到攻击时直接返回，中断处理流程

4.3 配置部署

server.xml配置

将自定义Valve配置在Host层级：

<Host name="localhost" appBase="webapps" unpackWARs="true" autoDeploy="true">
    <Valve className="com.test.XSSValve" />
    <!-- 其他配置 -->
</Host>

运行测试

• 配置Tomcat运行环境
• 启动Tomcat服务器
• 测试XSS防护功能

5. Valve内存马技术

5.1 内存马概念

Valve内存马是利用Tomcat容器的Valve机制，在容器中动态插入恶意Valve，从而拦截所有请求执行恶意代码。其特点包括：

• 无文件驻留内存，隐蔽性极高
• 能拦截所有经过容器的请求
• 具有极高的权限级别

5.2 不同层级的Valve注入

Context级别注入

• 影响范围：特定Web应用的所有请求
• 实现方式：通过Context的Pipeline动态添加Valve
• 适用场景：针对特定应用的持久化控制

Host级别注入

• 影响范围：特定虚拟主机的所有应用
• 实现方式：通过Host容器的Pipeline进行操作
• 适用场景：域名级别的请求监控和控制

Engine级别注入

• 影响范围：整个Tomcat实例的所有请求
• 实现方式：操作Engine容器的Pipeline
• 适用场景：全局性的请求拦截和处理

5.3 内存马实现关键技术

获取容器实例

通过Tomcat的内部API获取各层级容器的实例引用。

Pipeline操作

使用反射或直接调用方式操作容器的Pipeline组件。

Valve动态添加

将恶意Valve插入到Pipeline的合适位置，确保能够拦截请求。

5.4 防护和检测

防护措施

• 定期检查server.xml配置
• 监控Tomcat的运行时组件变化
• 使用安全防护工具进行动态检测

检测方法

• 检查各容器的Pipeline中的Valve列表
• 对比正常状态下的Valve配置
• 监控异常的网络请求模式

6. 总结

Valve作为Tomcat容器的核心拦截机制，提供了强大的请求处理能力。正确理解和使用Valve技术，既能实现有效的安全防护，也需要警惕其被恶意利用的风险。掌握Tomcat容器架构和Valve工作原理，对于Web安全研究和实践具有重要意义。