Tomcat内存马检测技术详解

一、内存马概述

内存马（Memory Shell）是一种驻留在服务器内存中的恶意后门程序，与传统webshell不同，它不依赖磁盘文件，具有以下特点：

• 无文件落地，难以通过常规文件扫描发现
• 重启后失效（除非有持久化机制）
• 通常通过漏洞利用或中间件特性注入
• 主要存在于Java应用的Servlet容器中，如Tomcat

二、Tomcat内存马常见类型

1. Servlet型内存马

• 通过动态注册恶意Servlet实现
• 攻击路径：/恶意路径

2. Filter型内存马

• 通过动态注册Filter拦截所有请求
• 可获取所有经过Filter的请求和响应

3. Listener型内存马

• 通过事件监听器实现
• 如ServletRequestListener可监控所有请求

4. Controller型内存马

• 针对Spring框架
• 通过注册Controller实现

三、内存马检测原理

1. 运行时检测机制

Tomcat内存马检测主要基于以下原理：

• Tomcat组件动态加载机制分析
• 运行时内存结构检查
• 合法组件与恶意组件的特征比对

2. 关键检测点

1. StandardContext检查

   • 检查context.getServletMappings()
   • 检查context.filterMaps和context.filterConfigs
   • 检查context.applicationEventListenersList和context.applicationLifecycleListeners

2. Wrapper检查

   • 检查StandardWrapper的实例及其映射关系

3. 内存特征扫描

   • 特定类名检测
   • 可疑URL pattern检测
   • 异常字节码特征

四、具体检测方法

1. Servlet型检测

// 获取所有Servlet映射
Map<String, String> servletMappings = context.getServletMappings();
for (Map.Entry<String, String> entry : servletMappings.entrySet()) {
    // 检查可疑的Servlet路径和类名
    if (isMaliciousServlet(entry.getKey(), entry.getValue())) {
        // 发现恶意Servlet
    }
}

2. Filter型检测

// 获取所有Filter
FilterDef[] filterDefs = context.findFilterDefs();
for (FilterDef filterDef : filterDefs) {
    // 检查Filter类名和映射
    if (isMaliciousFilter(filterDef.getFilterClass(), filterDef.getFilterName())) {
        // 发现恶意Filter
    }
    
    // 检查Filter映射
    FilterMap[] filterMaps = context.findFilterMaps();
    for (FilterMap filterMap : filterMaps) {
        if (filterMap.getFilterName().equals(filterDef.getFilterName())) {
            // 检查URL pattern
        }
    }
}

3. Listener型检测

// 获取所有Listener
Object[] listeners = context.getApplicationEventListeners();
if (listeners != null) {
    for (Object listener : listeners) {
        // 检查Listener类名
        if (isMaliciousListener(listener.getClass().getName())) {
            // 发现恶意Listener
        }
    }
}

五、检测工具实现

1. 基于Java Agent的检测

public class TomcatMemShellDetector {
    public static void premain(String args, Instrumentation inst) {
        inst.addTransformer(new ClassFileTransformer() {
            @Override
            public byte[] transform(ClassLoader loader, String className, 
                                  Class<?> classBeingRedefined, 
                                  ProtectionDomain protectionDomain, 
                                  byte[] classfileBuffer) {
                // 检查加载的类是否为可疑内存马
                if (isMaliciousClass(className, classfileBuffer)) {
                    // 记录或阻断
                }
                return null;
            }
        });
    }
}

2. 基于反射的运行时检测

public void checkTomcatComponents() throws Exception {
    // 获取StandardContext
    Object standardContext = getStandardContext();
    
    // 反射获取私有字段
    Field servletMappingsField = standardContext.getClass().getDeclaredField("servletMappings");
    servletMappingsField.setAccessible(true);
    Map<String, String> servletMappings = (Map<String, String>) servletMappingsField.get(standardContext);
    
    // 检查Servlet映射
    checkServletMappings(servletMappings);
    
    // 类似方法检查Filter和Listener
}

六、防御建议

1. 运行时防护

   • 部署RASP(运行时应用自我保护)解决方案
   • 监控关键类的动态加载

2. 配置加固

   • 限制动态组件注册权限
   • 启用Tomcat的安全管理器

3. 检测机制

   • 定期内存扫描
   • 建立合法组件白名单
   • 监控异常URL访问模式

4. 应急响应

   • 内存马清除脚本

   # 强制重启Tomcat服务
   systemctl stop tomcat
   pkill -9 java
   systemctl start tomcat
   

   • 事后分析排查入侵路径

七、高级检测技术

1. 字节码特征分析

   • 检测类文件中的危险方法调用
   • 识别Runtime.exec()等敏感调用链

2. 行为监控

   • 监控异常URL到类的映射关系
   • 跟踪动态注册的组件

3. 机器学习检测

   • 基于历史数据训练检测模型
   • 异常组件行为识别

八、参考实现

完整检测工具应包含以下模块：

1. Tomcat上下文提取模块
2. 组件分析引擎
3. 特征规则库
4. 报告生成模块
5. 应急响应模块

示例检测流程：

1. 获取所有已加载的类
2. 识别Tomcat核心组件
3. 提取运行时注册信息
4. 与白名单/黑名单比对
5. 生成检测报告

九、总结

Tomcat内存马检测需要深入理解Tomcat内部机制，通过多种技术手段结合实现全面防护。随着攻击技术的演进，检测方法也需要不断更新，建议建立持续的安全监控体系。