Godzilla Payload 深度分析与教学文档

PageContext pageContext;  // JSP页面上下文
HashMap praameterMap = new HashMap<Object, Object>();  // 参数存储结构

f.equals(arrOut);

f.equals(pageContext);

f.toString();

Godzilla Payload 深度分析与教学文档 一、Godzilla Payload 概述 Godzilla（哥斯拉）是一款流行的Webshell管理工具，其Java Payload实现了完整的后门功能。与冰蝎等工具相比，Godzilla采用了不同的技术实现方式： 初始化机制 ：Godzilla在初次连接时会将全功能的Java马（Payload）存入session对象中，后续只需传输方法名即可执行相应代码 执行效率 ：相比冰蝎每次加载不同恶意类的方式，Godzilla的session缓存机制提高了执行效率 二、Payload.class 核心结构分析 1. 主要属性 2. 核心方法分类 基础功能方法 Class g(byte[] b) ：类加载方法 String get(String key) ：获取parameterMap中的值 byte[] getByteArray(String key) ：获取parameterMap中的字节数组值 byte[] run() ：核心执行方法，根据parameterMap中的evalClassName和methodName调用对应方法 void formatParameter() ：处理参数，将参数存入parameterMap boolean equals(Object obj) ：判断对象类型（PageContext等） String toString() ：调用run方法并清空请求参数 byte[] test() ：返回"ok"字节码，用于初次连接验证 文件管理方法 getFile() listFileRoot() readFile() uploadFile() newFile() newDir() deleteFile() moveFile() copyFile() deleteFiles(File f) 命令执行方法 byte[] execCommand() 系统信息获取方法 byte[] getBasicsInfo() byte[] include() Map<String, String> getEnv() String getDocBase() String getRealPath() 数据库管理方法 byte[] execSql() 反射相关方法 Object invoke(Object obj, String methodName, Object... parameters) Method getMethodByClass(Class cs, String methodName, Class... parameters) static Object getFieldValue(Object obj, String fieldName) Base64操作方法 String base64Encode(String data) String base64Encode(byte[] src) byte[] base64Decode(String base64Str) 三、执行流程深度解析 1. 输出流初始化阶段 传入 ByteArrayOutputStream 类型参数 进入 handle 方法，将传入的 arrOut 赋值给 this.outputStream 用于结果输出 2. 参数获取阶段 根据传入参数类型进行不同赋值： ByteArrayOutputStream → this.outputStream HttpServletRequest / ServletRequest → this.servletRequest byte[] → this.requestData HttpSession → this.httpSession 通过反射获取request、response、session对象 3. 代码执行阶段 当 this.outputStream 为空时，初始化SessionMap，使用 GZIPOutputStream 修饰 this.outputStream 调用 formatParameter() 方法： 从 this.requestData 中解压缩数据 将解压后的参数存入 this.parameterMap 执行 run() 方法： 根据 parameterMap 中的参数执行相应代码 执行完成后清空所有请求相关对象 类名处理逻辑： 传入类名为空：执行payload类中对应方法 传入类名不为空：从sessionMap中获取类并实例化执行其中对应方法 四、防御检测建议 1. 检测特征 Session缓存 ：检查JSP session中是否存储了可疑的大尺寸对象 反射调用 ：监控非常规的反射调用行为 参数处理 ：检测异常的GZIP压缩数据传输 类加载 ：关注动态类加载行为 2. 防御措施 禁用不必要的JSP功能 加强session对象监控 部署WAF规则检测异常的参数传输模式 定期扫描Web目录中的可疑文件 五、与冰蝎的对比分析 | 特性 | Godzilla | 冰蝎 | |-------------|-----------------------------------|-------------------------------| | 初始化机制 | 首次连接加载全功能马到session | 每次请求加载不同恶意类 | | 执行效率 | 高（利用session缓存） | 较低（每次重新加载） | | 流量特征 | 后续请求只传输方法名 | 每次请求都传输完整类数据 | | 检测难度 | 较高（session存储） | 相对较低（频繁类加载） | 六、技术总结 Godzilla Payload通过精心设计的执行流程实现了高效、隐蔽的Webshell功能，其核心技术点包括： Session缓存机制 ：减少后续通信数据量，提高执行效率 多阶段执行流程 ：通过equals和toString的巧妙重载实现分阶段参数处理和代码执行 全功能集成 ：单个Payload类集成了文件管理、命令执行、数据库操作等完整后门功能 反射技术应用 ：灵活调用各种系统方法，绕过部分安全限制 理解这些技术细节对于安全研究人员分析检测Godzilla Webshell具有重要意义。