先知社区-内存马资料合集

内存马（Memory Shell）是 Java Web 安全里少有的、既要求漏洞利用能力又要求框架源码阅读能力的交叉方向。它不像传统的文件落地 Webshell，写进去就完事；内存马要么借助反序列化链注入，要么依赖容器本身的组件注册机制，一旦落地就活在 JVM 的运行时结构里，不产生磁盘文件，重启即消失，查杀难度直接上一个量级。这份资料合集的价值就在于，它没有停留在"某个工具怎么用"的层面，而是把不同容器、不同框架下的注入点拆开讲。

资料覆盖的技术面：容器与框架两条线

从线索看，内容大致分成两大块。一块是 Servlet 容器侧：Tomcat 的 Listener 型内存马、Tomcat WebSocket 内存马、Executor 组件的内存马实现、Resin 环境下的回显与内存马。另一块是框架与组件侧：Spring WebFlux（配合 CVE-2022-22947 那条利用链）、Shiro 反序列化注入冰蝎内存马，以及 Linux 环境相关的部分。

这种划分方式本身就是工程视角的。Listener、Filter、Servlet、Valve、Executor、WebSocket 这些是 Tomcat 内部的组件模型，每一类对应不同的注册 API 和生命周期，能注入的位置、触发的时机、被检测到的概率都不同。把 Listener 型和 WebSocket 型分开成篇，说明作者是按"注入点"而非"工具名"来组织的——这对想真正理解原理的人比按工具分类有用得多。

为什么值得对照源码看，而不是只看结论

内存马的核心矛盾在于：你要往一个正在运行的容器里塞进一段自己的逻辑，就必须找到容器自己愿意调用的扩展点。以 Listener 型为例，本质是构造一个实现了标准监听接口的对象，再通过反射拿到容器的上下文，把它注册进去；容器后续在事件触发时会主动调用它。WebSocket 型则绕到协议升级的路径上，利用端点注册机制让恶意逻辑挂在握手环节。

这些过程如果只看别人总结的"几步走"，很容易知其然不知其所以然。真正卡人的地方在于：不同 Tomcat 版本里 Context、Wrapper、StandardContext 这些对象的获取路径不一样，反射链的写法要跟着变；WebFlux 是响应式栈，压根没有传统 Servlet 容器那套东西，注入思路完全不同，得从 Reactor 的处理器链上找位置。资料里把 WebFlux 单独拎出来讲，正好补上了这块容易断档的知识。

可复用的部分在哪里

• 反射获取容器上下文的套路：不管是 Listener、Filter 还是 Executor，最终都要拿到容器的核心对象并调用注册方法，这段逻辑的模式是共通的，换个组件改改调用点就能复用。
• 回显问题的处理思路：Resin 回显那篇和 WebFlux 那篇都涉及怎么把命令执行结果写回 HTTP 响应。在无文件、无直接输出的场景下，回显方案是否稳定直接决定可用性，这里的处理手法可以迁移到其他容器。
• 反序列化链与内存马的衔接：Shiro 那篇演示的是从反序列化入口把冰蝎内存马注入进去，这条"入口漏洞 → 注入载荷 → 维持访问"的链路结构，是漏洞利用工程里很典型的组合方式，理解之后面对其他反序列化入口也能类推。
• 各组件注入点的差异对照：把 Listener、Executor、WebSocket 几篇放一起看，能横向比较不同扩展点在隐蔽性、触发条件、存活周期上的差别，这种对照比单看一篇更有信息量。

建议的自学路径

如果 Java Web 基础还不牢，直接啃内存马会很痛苦。合理的顺序是先把 Tomcat 的容器结构和请求处理流程过一遍——知道 Connector 怎么把请求交给 Engine、Host、Context，再进到 Wrapper 和 FilterChain，这样理解 Listener、Valve 这类组件时才有位置感。有了这层底子，再按"Listener → Executor → WebSocket → 框架侧（Shiro/WebFlux）"的顺序推进，从最简单的注册型注入看到需要结合漏洞链的复杂场景。

实操时建议在本地起对应版本的容器，边看资料边打断点或加日志，观察注册前后容器内部结构的变化。内存马的检测和对抗也在演进，光记住注入方法不够，理解组件模型才能跟上后续变化。

这份资料更适合当作"对照实践的参考"来用：遇到具体容器或框架时翻对应篇章，对着源码把注入链路走通，而不是从头到尾当视频课刷一遍。下载后先看说明页确认整体结构，再按自己的技术栈挑重点章节切入，效率会高不少。