Agent 内存马的攻防之道 - 深入解析与实战指南<\/h1>

一、Java 内存马概述<\/h2>

Java 内存马主要分为两种形式：<\/p>

创建 Java Web 组件（如 Controller、Servlet、Filter、Valve）并通过反射注册或替换<\/li>

通过 Java Agent 技术修改关键类（如 Servlet）的代码<\/li> <\/ol>

Agent 型内存马特点<\/strong>：<\/p>

修改的类位置不固定<\/li>
被修改的类不是纯粹的"内存"类<\/li>
检测难度高于传统内存马<\/li> <\/ul>
二、Java Agent 技术基础<\/h2>
1. 加载方式<\/h3>

Agent_OnLoad<\/strong>：通过 -javaagent<\/code> 参数加载<\/li>
Agent_OnAttach<\/strong>：通过 VM.attach<\/code> 方法注入<\/li> <\/ul> 2. 关键类与方法<\/h3> Instrumentation<\/code> 接口 redefineClasses<\/code>：重定义类<\/li> addTransformer<\/code> + retransformClasses<\/code>：添加转换器并重新转换类<\/li> <\/ul> <\/li> <\/ul> 3. JVM 类加载流程<\/h3> 正常类加载<\/strong>：<\/p> 从本地 jar 包获取类字节码<\/li> 经过 JvmtiClassFileLoadHookPoster<\/code> 转换<\/li> 编译为 InstanceKlass<\/code><\/li> <\/ul> <\/li> redefineClasses<\/strong>：<\/p> 类来源更换为指定字节码<\/li> 类加载流程与正常加载类似<\/li> <\/ul> <\/li> retransformClasses<\/strong>：<\/p> 根据 InstanceKlass<\/code> 重新生成类字节码<\/li> 存入缓存 InstanceKlass._cached_class_file<\/code><\/li> <\/ul> <\/li> <\/ol> 三、攻防对抗分析<\/h2> 1. 攻击方式<\/h3> (1) 通过 redefineClasses<\/h4> 优点<\/strong>：直接有效<\/li> 缺点<\/strong>：容易被防护模式检测到<\/li> <\/ul> (2) 通过 retransformClasses<\/h4> 优点<\/strong>：若攻击者 agent 在防御者之后注入，防御者无法获取修改后的字节码<\/li> 缺点<\/strong>：需要先添加 reTransformer<\/li> <\/ul> 2. 防御方式<\/h3> (1) 防护模式<\/h4> 应用运行时加载检测 agent<\/li> 添加 reTransformer 监控关键类<\/li> 可检测到类被重新加载<\/li> <\/ul> (2) 临时检测模式<\/h4> 通过 VirtualMachine.attach<\/code> 加载检测 agent<\/li> 添加临时 reTransformer 获取类字节码<\/li> <\/ul> 3. 攻防博弈场景<\/h3> 攻击方式<\/th> 防御模式<\/th> 检测结果<\/th> <\/tr> <\/thead> redefineClasses<\/td> 防护模式<\/td> 可检测<\/td> <\/tr> retransformClasses<\/td> 防护模式<\/td> 无法获取修改后字节码<\/td> <\/tr> redefineClasses<\/td> 临时检测<\/td> 可检测<\/td> <\/tr> retransformClasses<\/td> 临时检测<\/td> 可检测<\/td> <\/tr> <\/tbody> <\/table> 四、高级攻击技术<\/h2> 1. 借尸还魂技术<\/h3> 原理<\/strong>：利用已有 agent 的 InstrumentationImpl<\/code> 实例<\/p> 实现步骤<\/strong>：<\/p> 从内存解析 JvmtiEnv<\/code> 链<\/li> 获取 _env_local_storage<\/code> (_JPLISEnvironment<\/code>)<\/li> 从中获取 InstrumentationImpl<\/code> 实例<\/li> 使用 jobject<\/code> 转 Java 对象技术<\/li> <\/ol> 关键代码<\/strong>：<\/p> \/\/ 获取对象地址 <\/span><\/span><\/span><\/span>long<\/span> address =<\/span> unsafe.<\/span>getLong<\/span>(<\/span>new<\/span> Object[]{<\/span>obj},<\/span> arrayBaseOffset);<\/span> <\/span><\/span> <\/span><\/span>\/\/ 从地址恢复对象 <\/span><\/span><\/span><\/span>unsafe.<\/span>putLong<\/span>(<\/span>array,<\/span> arrayBaseOffset,<\/span> jobjectAddr);<\/span> <\/span><\/span>Object obj =<\/span> array[<\/span>0<\/span>];<\/span> <\/span><\/span><\/code><\/pre>2. 无文件 Agent 注入<\/h3> 技术难点<\/strong>：<\/p> 构造 JPLISAgent<\/code> 对象<\/li> 获取 JavaVM<\/code> 实例（从 libjvm.so<\/code> 的 main_vm<\/code> 符号）<\/li> 获取 jmethodID<\/code>（通过解析 jobject<\/code>）<\/li> <\/ol> 实现方案<\/strong>：<\/p> 使用 setHasRetransformableTransformers<\/code> 创建 JvmtiEnv<\/code><\/li> 解析 jobject<\/code> 获取 klass<\/code> 地址<\/li> 通过方法参数数量定位 transformer<\/code> 方法<\/li> <\/ol> 3. 隐蔽攻击技术<\/h3> 核心思想<\/strong>：确保攻击者的 jvmtiEnv<\/code> 在链末尾<\/p> 实现方法<\/strong>：<\/p> 检查自身是否在链末尾<\/li> 若不在，移动到末尾并设置清除标志<\/li> 下次执行时结束链<\/li> <\/ol> 代码片段<\/strong>：<\/p> if<\/span>(!<\/span>clearFlag){<\/span> <\/span><\/span> long<\/span> nextJvmti =<\/span> getTheNextOfJvmtiEnv(<\/span>ownJvmtiEnvAddr);<\/span> <\/span><\/span> if<\/span> (<\/span>nextJvmti !=<\/span> 0<\/span>){<\/span> <\/span><\/span> \/\/ 从链中剔除自己的 jvmtiEnv <\/span><\/span><\/span><\/span> putLong(<\/span>jvmtiPointer,<\/span> nextJvmti);<\/span> <\/span><\/span> <\/span><\/span> \/\/ 将自己添加到链末尾 <\/span><\/span><\/span><\/span> long<\/span> lastJvmti =<\/span> findTheLastJvmtiEnv();<\/span> <\/span><\/span> setTheNextJvmti(<\/span>lastJvmti,<\/span> ownJvmtiEnvAddr);<\/span> <\/span><\/span> <\/span><\/span> clearFlag =<\/span> true<\/span>;<\/span> <\/span><\/span> return<\/span> null<\/span>;<\/span> <\/span><\/span> }<\/span> <\/span><\/span>}<\/span> <\/span><\/span><\/code><\/pre>五、内存马实战<\/h2> 1. 传统 Agent 内存马<\/h3> 修改 javax.servlet.http.HttpServlet<\/code> 的 service<\/code> 方法<\/li> 拦截所有请求<\/li> <\/ul> 2. 高级内存马特点<\/h3> 无文件落地<\/li> 防御工具无法检测<\/li> 修改后不会因防御扫描而失效<\/li> <\/ul> 3. 防御建议<\/h3> 监控 addTransformer<\/code>、retransformClasses<\/code>、redefineClasses<\/code> 方法<\/li> 定期检查关键类字节码<\/li> 使用专业内存马检测工具<\/li> <\/ol> 六、总结与展望<\/h2> Java Agent 内存马技术不断发展：<\/p> 从落地 Jar 到无文件注入<\/li> 从简单修改到隐蔽攻击<\/li> 攻防对抗日益复杂<\/li> <\/ol> 未来方向<\/strong>：<\/p> 更隐蔽的注入技术<\/li> 对抗高级检测手段<\/li> 跨平台兼容性解决方案<\/li> <\/ol> 七、参考资源<\/h2> OpenJDK 源码<\/li> Java Object Layout<\/li> 基于 javaAgent 内存马检测查杀指南<\/li> 如何优雅的注入 Java Agent 内存马<\/li> Java 内存攻击技术漫谈<\/li> <\/ol> 注<\/strong>：本文涉及技术仅供学习研究，请勿用于非法用途。实际应用中请遵守相关法律法规。<\/p>

攻击方式<\/th>	防御模式<\/th>	检测结果<\/th> <\/tr> <\/thead>
redefineClasses<\/td>	防护模式<\/td>	可检测<\/td> <\/tr>
retransformClasses<\/td>	防护模式<\/td>	无法获取修改后字节码<\/td> <\/tr>
redefineClasses<\/td>	临时检测<\/td>	可检测<\/td> <\/tr>
retransformClasses<\/td>	临时检测<\/td>	可检测<\/td> <\/tr> <\/tbody> <\/table> 四、高级攻击技术<\/h2> 1. 借尸还魂技术<\/h3> 原理<\/strong>：利用已有 agent 的 `InstrumentationImpl<\/code> 实例<\/p>` `实现步骤<\/strong>：<\/p>` 从内存解析 JvmtiEnv<\/code> 链<\/li> 获取 _env_local_storage<\/code> (_JPLISEnvironment<\/code>)<\/li> 从中获取 InstrumentationImpl<\/code> 实例<\/li> 使用 jobject<\/code> 转 Java 对象技术<\/li> <\/ol> 关键代码<\/strong>：<\/p> \/\/ 获取对象地址 <\/span><\/span><\/span><\/span>long<\/span> address =<\/span> unsafe.<\/span>getLong<\/span>(<\/span>new<\/span> Object[]{<\/span>obj},<\/span> arrayBaseOffset);<\/span> <\/span><\/span> <\/span><\/span>\/\/ 从地址恢复对象 <\/span><\/span><\/span><\/span>unsafe.<\/span>putLong<\/span>(<\/span>array,<\/span> arrayBaseOffset,<\/span> jobjectAddr);<\/span> <\/span><\/span>Object obj =<\/span> array[<\/span>0<\/span>];<\/span> <\/span><\/span><\/code><\/pre>2. 无文件 Agent 注入<\/h3> 技术难点<\/strong>：<\/p> 构造 JPLISAgent<\/code> 对象<\/li> 获取 JavaVM<\/code> 实例（从 libjvm.so<\/code> 的 main_vm<\/code> 符号）<\/li> 获取 jmethodID<\/code>（通过解析 jobject<\/code>）<\/li> <\/ol> 实现方案<\/strong>：<\/p> 使用 setHasRetransformableTransformers<\/code> 创建 JvmtiEnv<\/code><\/li> 解析 jobject<\/code> 获取 klass<\/code> 地址<\/li> 通过方法参数数量定位 transformer<\/code> 方法<\/li> <\/ol> 3. 隐蔽攻击技术<\/h3> 核心思想<\/strong>：确保攻击者的 jvmtiEnv<\/code> 在链末尾<\/p> 实现方法<\/strong>：<\/p> 检查自身是否在链末尾<\/li> 若不在，移动到末尾并设置清除标志<\/li> 下次执行时结束链<\/li> <\/ol> 代码片段<\/strong>：<\/p> if<\/span>(!<\/span>clearFlag){<\/span> <\/span><\/span> long<\/span> nextJvmti =<\/span> getTheNextOfJvmtiEnv(<\/span>ownJvmtiEnvAddr);<\/span> <\/span><\/span> if<\/span> (<\/span>nextJvmti !=<\/span> 0<\/span>){<\/span> <\/span><\/span> \/\/ 从链中剔除自己的 jvmtiEnv <\/span><\/span><\/span><\/span> putLong(<\/span>jvmtiPointer,<\/span> nextJvmti);<\/span> <\/span><\/span> <\/span><\/span> \/\/ 将自己添加到链末尾 <\/span><\/span><\/span><\/span> long<\/span> lastJvmti =<\/span> findTheLastJvmtiEnv();<\/span> <\/span><\/span> setTheNextJvmti(<\/span>lastJvmti,<\/span> ownJvmtiEnvAddr);<\/span> <\/span><\/span> <\/span><\/span> clearFlag =<\/span> true<\/span>;<\/span> <\/span><\/span> return<\/span> null<\/span>;<\/span> <\/span><\/span> }<\/span> <\/span><\/span>}<\/span> <\/span><\/span><\/code><\/pre>五、内存马实战<\/h2> 1. 传统 Agent 内存马<\/h3> 修改 javax.servlet.http.HttpServlet<\/code> 的 service<\/code> 方法<\/li> 拦截所有请求<\/li> <\/ul> 2. 高级内存马特点<\/h3> 无文件落地<\/li> 防御工具无法检测<\/li> 修改后不会因防御扫描而失效<\/li> <\/ul> 3. 防御建议<\/h3> 监控 addTransformer<\/code>、retransformClasses<\/code>、redefineClasses<\/code> 方法<\/li> 定期检查关键类字节码<\/li> 使用专业内存马检测工具<\/li> <\/ol> 六、总结与展望<\/h2> Java Agent 内存马技术不断发展：<\/p> 从落地 Jar 到无文件注入<\/li> 从简单修改到隐蔽攻击<\/li> 攻防对抗日益复杂<\/li> <\/ol> 未来方向<\/strong>：<\/p> 更隐蔽的注入技术<\/li> 对抗高级检测手段<\/li> 跨平台兼容性解决方案<\/li> <\/ol> 七、参考资源<\/h2> OpenJDK 源码<\/li> Java Object Layout<\/li> 基于 javaAgent 内存马检测查杀指南<\/li> 如何优雅的注入 Java Agent 内存马<\/li> Java 内存攻击技术漫谈<\/li> <\/ol> 注<\/strong>：本文涉及技术仅供学习研究，请勿用于非法用途。实际应用中请遵守相关法律法规。<\/p>