官方公众号企业安全新浪微博
FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。
FreeBuf+小程序
pony686- 关注
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
1.什么是内存马
以Tomcat为例，内存马主要利用了Tomcat的部分组件会在内存中长期驻留的特性，只要将我们的恶意组件注入其中，就可以一直生效，直到容器重启。
Java内存shell有很多种，大致分为：
1动态注册filter
2动态注册servlet
3动态注册listener
4基于Java agent拦截修改关键类字节码实现内存shell
2.什么是Servlet
Tomcat 服务器是一个免费的开放源代码的Web 应用服务器，Tomcat是Apache 软件基金会（Apache Software Foundation）的Jakarta 项目中的一个核心项目，它早期的名称为catalina，后来由Apache、Sun 和其他一些公司及个人共同开发而成，并更名为Tomcat。Tomcat 是一个小型的轻量级应用服务器，在中小型系统和并发访问用户不是很多的场合下被普遍使用，是开发和调试JSP 程序的首选，因为Tomcat 技术先进、性能稳定，成为目前比较流行的Web 应用服务器。Tomcat是应用（java）服务器，它只是一个servlet容器，是Apache的扩展，但它是独立运行的。
从宏观上来看，Tomcat其实是Web服务器和Servlet容器的结合体。
Web服务器：通俗来讲就是将某台主机的资源文件映射成URL供给外界访问。（比如访问某台电脑上的图片文件）
Servlet容器：顾名思义就是存放Servlet对象的东西，Servlet主要作用是处理URL请求。（接受请求、处理请求、响应请求）
Tomcat由四大容器组成，分别是Engine、Host、Context、Wrapper。这四个组件是负责关系，存在包含关系。只包含一个引擎（Engine）：
Engine（引擎）：表示可运行的Catalina的servlet引擎实例，并且包含了servlet容器的核心功能。在一个服务中只能有一个引擎。同时，作为一个真正的容器，Engine元素之下可以包含一个或多个虚拟主机。它主要功能是将传入请求委托给适当的虚拟主机处理。如果根据名称没有找到可处理的虚拟主机，那么将根据默认的Host来判断该由哪个虚拟主机处理。
Host （虚拟主机）：作用就是运行多个应用，它负责安装和展开这些应用，并且标识这个应用以便能够区分它们。它的子容器通常是 Context。一个虚拟主机下都可以部署一个或者多个Web App，每个Web App对应于一个Context，当Host获得一个请求时，将把该请求匹配到某个Context上，然后把该请求交给该Context来处理。主机组件类似于Apache中的虚拟主机，但在Tomcat中只支持基于FQDN(完全合格的主机名)的“虚拟主机”。Host主要用来解析web.xml。
Context（上下文）：代表 Servlet 的 Context，它具备了 Servlet 运行的基本环境，它表示Web应用程序本身。Context 最重要的功能就是管理它里面的 Servlet 实例，一个Context代表一个Web应用，一个Web应用由一个或者多个Servlet实例组成。
Wrapper（包装器）：代表一个 Servlet，它负责管理一个 Servlet，包括的 Servlet 的装载、初始化、执行以及资源回收。Wrapper 是最底层的容器，它没有子容器了，所以调用它的 addChild 将会报错。
2.1 前置知识
我们知道的Tomcat创建Servlet的过程分为五部
- 加载：当Tomcat第一次访问Servlet的时候，Tomcat会负责创建Servlet的实例
- 初始化：当Servlet被实例化后，Tomcat会调用init()方法初始化这个对象
- 处理服务：当浏览器访问Servlet的时候，Servlet 会调用service()方法处理请求
- 销毁：当Tomcat关闭时或者检测到Servlet要从Tomcat删除的时候会自动调用destroy()方法，让该实例释放掉所占的资源。一个Servlet如果长时间不被使用的话，也会被Tomcat自动销毁
- 卸载：当Servlet调用完destroy()方法后，等待垃圾回收。如果有需要再次使用这个Servlet，会重新调用init()方法进行初始化操作
所以我们的内存马要写到service这个地方才方便我们调用，有了前面两个内存马的学习，servlet内存马跟两个内存马也大同小异，所以这里我们就大概的看一下一些重要的不同的地方
2.2 创建过程分析
在Tomcat的机制中我们知道三件套加载的顺序是Listener-----filter-----servlet这样的加载机制，确定一下吧，把断点打在init这个点
2.3 tomcat调式分析servlet
当前的tomcat版本是 9.0.68
在pom.xml 添加依赖
<dependency>
<groupId>org.apache.tomcat</groupId>
<artifactId>tomcat-catalina</artifactId>
<version>9.0.68</version>
</dependency>
helloServlet 这个Servlet是创建的时候自动有的
package com.example.ncm;
import java.io.*;
import javax.servlet.http.*;
import javax.servlet.annotation.*;
@WebServlet(name = "helloServlet", value = "/hello-servlet")
public class HelloServlet extends HttpServlet {
private String message;
public void init() {
message = "Hello World!";
}
public void doGet(HttpServletRequest request, HttpServletResponse response) throws IOException {
response.setContentType("text/html");
// Hello
PrintWriter out = response.getWriter();
out.println("<html><body>");
out.println("<h1>" + message + "</h1>");
out.println("</body></html>");
}
public void destroy() {
}
}在org/apache/catalina/startup/ContextConfig.java 在此处下一个断点
private void configureContext(WebXml webxml) {
// As far as possible, process in alphabetical order so it is easy to
// check everything is present
// Some validation depends on correct public ID
context.setPublicId(webxml.getPublicId());在这个地方设置一个断点 可以看到webxml这个类中有三个 serlvet 其中有一个就是helloServet 前两个是系统自带的。服务器自动的时候自动加载进来。
遍历servlet 用 wrapper 进行装载
for (ServletDef servlet : webxml.getServlets().values()) {
畅读付费文章
已在FreeBuf发表 65 篇文章
如需授权、对文章有疑问或需删除稿件，请联系 FreeBuf 客服小蜜蜂（微信：freebee1024）
![[Meachines] [Medium] Lazy Padding-Oracle+AES_CBC+路径劫持权限提升](https://image.3001.net/images/20250326/1742981587_67e3c9d323bffce325073.png)
![[Meachines] [Medium] DevOops XXE-XML-RSS+cPickle反序列化+git-leak权限提升](https://image.3001.net/images/20250325/1742914365_67e2c33d2d8cd28d1228e.png)
- 65 文章数
- 429 关注者