内存马查杀copagent研究

已于 2022-12-16 13:23:31 修改
阅读量1.6k 收藏 1
点赞数
CC 4.0 BY-SA版权
分类专栏： 安全研发 文章标签： web安全
于 2022-09-11 22:18:26 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/SHELLCODE_8BIT/article/details/126806552
本文介绍了copagent项目，主要用于内存马的查杀。项目编译涉及生成并拷贝agent.jar到cop资源文件夹，再打包成cop.jar。启动cop.jar后，解析参数，释放agent.jar，并注入到目标JVM进程中。注入过程使用VirtualMachine类的attach和loadAgent方法完成。文章详细阐述了注入流程和相关参数设置。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

项目简介

copagent主要用于内存马查杀。

项目编译

1.生成agent.jar

2.将其拷贝进入cop的resources文件夹中

3.生成cop.jar 

将刚才的agent.jar，拷贝到resrouces文件夹。

打包jar

 

了解本专栏 订阅专栏 解锁全文 超级会员免费看
【网络安全】Agent内存马的自动分析与查杀
2201_75857562的博客
02-06 611
接下来介绍做了些什么，能够实现怎样的效果不难看出，以上内存马查杀手段都是半自动结合人工审核的方式，当检测出内存马后检测（同时支持普通内存马和Java Agent内存马的检测）分析（如何确定该类是内存马，仅根据恶意类名和注解等信息不完善）查杀（当确定内存马存在，如何自动地删除内存马并恢复正常业务逻辑）大致看来，实现起来似乎不难，然而实际中遇到了很多坑，接下来我会逐个介绍关于Dump字节码经过我的一些测试，使用sa-jdi库不能保证dump。
内存马介绍及分析-带查杀工具tomcat memshell scanner.jsp
weixin_65629944的博客
12-18 1329
先判断是通过什么方法注入的内存马，可以先查看web日志是否有可疑的web访问日志，如果是filter或者listener类型就会有大量url请求路径相同参数不同的，或者页面不存在但是返回200的，查看是否有类似哥斯拉、冰蝎相同的url请求，哥斯拉和冰蝎的内存马注入流量特征与普通webshell的流量特征基本吻合。4.java VisualVM工具：是一款免费的，集成了多个 JDK 命令行工具的可视化工具，它能为您提供强大的分析能力，对 Java 应用程序做性能分析和调优。cmd=后跟命令即可。
Java内存马使用
mudi13的博客
09-05 1411
对于终端安全：有文件监控、防篡改、EDR；对于后门：有 Webshell 查杀、流量监测；对于网络层面：有防火墙防止反连、反向代理系统隐藏真实 IP；等等。​ 目前主流的防御措施针对 Webshell 的静态检出率在 90% 以上，在部分环境下甚至完全无法落地，防御方可以做到快速应急响应。正因为这些限制，内存马技术得以诞生并快速发展，无文件攻击、内存 Webshell、进程注入等基于内存的攻击手段也受到了越来越多的师傅青睐，在实战环境中已占得一席之地。
Java内存马的检测与发现
最新发布
blackpeach的博客
05-14 1169
Java内存马检测方法包括注入jar包、dump class字节码、反编译源码及webshell检测，常用工具有FindShell、sa-jdi等，需结合反编译工具分析确认并处理。
查杀内存马工具
weixin_46211944的博客
09-23 628
查杀内存马工具。
内存马检测排查手段
热门推荐
SimoSimoSimo的博客
11-05 2万+
内存马是无文件落地webshell中最常见的攻击手段，随着攻防演练对抗强度越来越高，流量分析、EDR等专业安全设备被蓝方广泛使用，传统的文件上传的webshll以及文件形式的后门容易被检测到，文件shell明显气数已尽，而内存马因其隐蔽性等优点从而越来越盛行。
应急--内存马查杀演示（极简）
m0_58355451的博客
08-30 4205
由客户端发起的Web请求后，中间件的各个独立的组件如Listener、Filter、Servlet等组件会在请求过程中做监听、判断、过滤等操作，内存马就是利用请求过程在内存中修改已有的组件或动态注册一个新的组件，插入恶意的shellcode，达到持久化控制服务器的目的。以java为例，客户端发起的web请求会依次经过Listener、Filter、Servlet三个组件，我们只要在这个请求的过程中做手脚，在内存中修改已有的组件或者动态注册一个新的组件，插入恶意的shellcode，就可以达到我们的目的。
内存马查杀工具FindShell试用
HRay's blog
03-17 7209
首先使用冰蝎创建一个内存马 成功进入内存马界面 接下来尝试使用findshell查杀，项目主页为 https://github.com/4ra1n/FindShell 服务器上首先部署代码，执行 git clone https://github.com/4ra1n/FindShell.git 然后进入到FindShell目录，打包项目，执行（如果没有mvn命令需要先yum -y install apache-maven安装） mvn package 打包后在targe..
应急响应—内存马排查与查杀
2301_76227305的博客
03-11 1712
目前常用的查杀工具就这四款，主要是配合我们的手工进行一个查杀，如果是遇上哥斯拉的内存马第一个工具估计检测不出来，因为冰蝎的内存马做了hook，更加隐蔽。本来是想顺便演示一下的，但是冰蝎生成的shell死活连不上，也就放弃了。
java内存马查杀工具
qq_44749590的博客
08-18 1151
java内存马查杀工具。
【Java内存马 原理、实战与查杀】
weixin_46318447的博客
06-11 3028
内存马原理 、实战与查杀
在校自研内存马查杀工具，非常实用
stopys6的博客
09-07 677
该工具总体解决了tomcat和spring内存马的查杀问题，使蓝队师傅们在面对内存马时不再只能使用重启大法。还得为一些可能再也起不来的服务担惊受怕。且该工具比较轻便，对服务没有太多入侵，不会影响服务的正常运行（别删错人家正常功能就行）。再者，该代码尽可能兼容了多版本的环境，使用起来兼容性较高。目前代码已经满足基本功能，后续打算放在github上开源供大家使用。目前还在不断的实战中看看有没有什么新的bug出现，等调试好了就会放到github上。在我后续文章中会放出github链接。
内存马原理及查杀
m0_63081418的博客
08-13 1782
内存马一些基本原理，大佬勿喷
工具分享 | 自研内存马查杀工具MemShellKiller,红队必备
IT软件汇
09-11 357
工具分享 | 自研内存马查杀工具MemShellKiller,红队必备
三条命令查杀冰蝎、哥斯拉内存马
2401_85280228的博客
03-04 1258
首先我们了解一下内存马注入的方法，有两种注入内存马的方式：1、动态注入组件2、通过Instrument修改内存class内存马姿势多种多样，内存马的检测方法同样百花齐放。从上面的分析来说可以总结为“80万对60万，优势在我”是攻方，比如通过三条命令发现内存马，发现的只是已有的特征，攻方也可以修改这些特征，所以还需要另辟蹊径。笔者找到一个在实验环境表现不错的第二个新方法，等实践不错后再分享出来。
Tomcat Filter类型内存马与查杀技术学习
xnxqwzy的博客
08-24 414
随着每年攻防对抗强度的增加，普通的木马在各大厂商的安全设备下，根本难以存活，想要落地一个实体木马的难度逐渐增大。逐步完善的过滤机制、前后端分离的趋势，使得传统的webshell生存空间越来越小。于是，随着时代的发展，内存马出现了。内存马就是一种无需落地文件就能使用的webshell，它将恶意代码写入内存，拦截固定参数来达到webshell的效果。发展过程如下:web服务器管理页面——> 大马——>小马拉大马——>一句话木马——>加密一句话木马——>加密内存马。
2024最新工具分享 | 自研内存马查杀工具MemShellKiller,红队必备
苏诺木安全团队
12-26 272
2024最新工具分享 | 自研内存马查杀工具MemShellKiller,红队必备
浅析JavaWeb内存马基础原理与查杀思路
道阻且长，行则将至
04-04 6448
传统的 Webshell 后门很容易被当前 WAF、HIDS、EDR 等安全设备检测出来，于是无文件落地的内存马技术得以诞生并快速发展。本文简要分析了Java内存马的原理、分类，并实践了主流Webshell客户端管理工具内存马的使用与当前应对内存马的一些查杀思路、手段。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

信安成长日记

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值