[发明专利]一种Java Web应用内存木马检测方法、终端设备及存储介质

说明书

本发明涉及一种Java Web应用内存木马检测方法、终端设备及存储介质，该方法中包括：S1：从运行中的Java虚拟机中获取Class字节流；S2：将Class字节流解析为可识别的Constant和Method；S3：根据由敏感规则构成的敏感规则库，对解析后的Constant和Method进行匹配，根据匹配结果判断Class字节流的风险。本发明相比于传统的检测方法消耗资源更低，进而对业务系统运行的影响更小，且避免了大量I/O操作。

技术领域

本发明涉及木马检测领域，尤其涉及一种Java Web应用内存木马检测方法、终端设备及存储介质。

背景技术

Web应用系统现广泛应用于社交、购物和邮件等重要业务线上，在网络资产中占有非常重要的地位，系统的受攻击面广和攻击技术多，导致系统易被入侵。“无文件马”(内存马)是“主机层安全面”的无文件马，其实现方法有：进程注入(shellcode注入)、WMI后门(驻留恶意payload)、远程执行下载命令(如：powershell、mshta、regsvr32等)。“应用层安全面”的无文件马(即内存马)是通过web容器(如tomcat、WebLogic等)或容器中的Web应用漏洞(如：任意命令执行、文件上传、反序列化等)使恶意代码驻留在内存中，攻击者经常用内存马做权限维持。较之传统的“有文件马”攻击，这一攻击方式可以大大减少攻击者在靶机中留下的痕迹(传统的安全产品对这类攻击的检测能力不足)。攻击者可以利用Java、C#、PHP等不同开发语言构造不同类型的内存马。受限于检测技术消耗进程cpu资源较大。内存马注入方式以及实现变化不断，现有的检测方法很难低消耗的有效检测出。

现使用内存木马检测方法主要分为agent注入反编译Class文件检测、利用请求上下文StandardContext遍历成员变量filterMaps,servletMappings判断磁盘源检测等其他手段口。Agent注入方式通过Java instrumentation机制，将检测jar包attach到jvm进程，检查加载到jvm中的类是否异常。整体检测思路为：获取jvm中所有加载的类。遍历每个类，判断是否为风险类。这里把可能被攻击方新增/修改内存中的类，标记为风险类(比如实现了filter/servlet的类)。遍历风险类，检查是否为webshell；检查高风险类的Class文件是否存在；反编译风险类字节码，检查Java文件中包含恶意代码。其优势为内测木马检出率高，但对于目标进程cpu占用和对系统IO占用资源消耗较大，用JDK官方工具JMC发现检测过程中在1核2G cpu使用率飚升到80％～90％之间，严重影响了业务应用，有概率直接导致进程异常崩溃。经研究消耗主要集中在dump Class文件和Class反编译。

发明内容

为了解决上述问题，本发明提出了一种Java Web应用内存木马检测方法、终端设备及存储介质。

具体方案如下：

一种Java Web应用内存木马检测方法，包括以下步骤：

S1：从运行中的Java虚拟机中获取Class字节流；

S2：将Class字节流解析为可识别的Constant和Method；

S3：根据由敏感规则构成的敏感规则库，对解析后的Constant和Method进行匹配，根据匹配结果判断Class字节流的风险。

进一步的，步骤S1中通过Java agent技术从运行中的Java虚拟机中获取Class字节流。