网安面试必看：内存马的排查思路

什么是内存马

内存马（Memory Malware）是一种恶意软件，它的原理是将恶意代码加载到系统内存中并在内存中运行，从而实现对系统的控制和攻击。其主要工作过程可以分为以下几步：

• 注入恶意代码：内存马通过漏洞或者其他方式，将自身的恶意代码注入到进程的内存空间中。
• 替换执行流程：内存马修改进程的执行流程，使得程序执行到恶意代码的入口点，从而启动恶意代码的运行。
• 隐藏进程/文件：内存马会隐藏自己的进程和相关的恶意文件，以免被用户察觉。
• 接收命令控制：内存马向指定的控制服务器发送心跳包，等待控制命令的下发，并执行相应的指令。

内存马的优点是具有隐蔽性，因为其不需要写入磁盘等外部存储介质，能够绕过传统的杀毒软件的检测，增加攻击者的成功率。同时内存马也很难被检测出来，因为其在内存中运行，没有留下任何痕迹。因此，内存马已成为当今网络攻击的主要手段之一。

如何查杀内存马

查杀内存马相对于其他恶意软件更加困难，因为其在系统中并没有留下痕迹，常规的杀毒软件也很难检测它们的存在。但是我们仍然可以采取以下措施来查杀内存马：

• 使用进程管理工具：通过查看系统进程列表，找到异常进程，看它是否是系统本身启动的进程。如果不是，则有可能是内存马程序在运行，此时需要立刻结束该进程。
• 分析网络流量：内存马通常会向远程控制服务器发送数据，如果发现大量的网络流量从一些奇怪的端口或者IP地址发出，就可能遭受内存马攻击。此时应立即断开网络连接，并且寻找可疑的进程和文件进行查杀。
• 使用安全检测工具：一些专业的安全检测工具（如Rootkit Hunter、chkrootkit等）可以检测系统中是否存在内存马程序，以及是否被篡改了关键组件，从而发现隐藏的内存马程序。
• 升级安全补丁：内存马往往利用系统漏洞进行入侵，升级最新的安全补丁可以修复这些漏洞，从而有效预防内存马的入侵。

内存马的分类

根据内存马注入的方式，大致可以分为两类：

1. servlet-api型
   通过命令执行等方式动态注册一个新的listener、filter或者servlet，从而实现命令执行等功能。特定框架、容器的内存马原理与此类似，如spring的controller内存马，tomcat的valve内存马
2. 字节码增强型
   通过java的instrumentation动态修改已有代码，进而实现命令执行等功能。

内存马的排查思路

一旦发现并且确认了内存马应该怎么排查？

1. 先判断是通过什么方法注入的内存马
   可以先查看web日志是否有可疑的web访问日志，如果是filter或者listener类型就会有大量url请求路径相同参数不同的，或者页面不存在但是返回200的。
2. 从流量特征进行抓包分析
   查看是否有类似哥斯拉、冰蝎相同的url请求，哥斯拉和冰蝎的内存马注入流量特征与普通webshell的流量特征基本吻合。通过查找返回200的url路径对比web目录下是否真实存在文件，如不存在大概率为内存马。
3. 排查中间件漏洞和框架漏洞
   如在web日志中并未发现异常，可以排查是否为中间件漏洞导致代码执行注入内存马，排查中间件的error.log日志查看是否有可疑的报错，根据注入时间和方法根据业务使用的组件排查是否可能存在java代码执行漏洞以及是否存在过webshell，排查框架漏洞，反序列化漏洞。