首頁
社區(qū)
課程
招聘
冰蝎防檢測內存馬如何查殺？

問題描述

課程中只查殺了普通的冰蝎內存馬，使用的attach方式為
VirtualMachine.attach(),冰蝎防檢測內存馬刪除了pid對應的socket文件導致不能attach，應該如何實現？

問題出現的環(huán)境背景及自己嘗試過哪些方法

使用HSDB對應的sa-jdi.jar雖然可以attach成功，但是這種方法會導致JVM直接掛起，在實際業(yè)務中無法使用，所以如果被注入冰蝎防檢測內存馬，還有沒有其他的辦法能夠
attach進程進行檢測

收藏
2條回答
RJ45實驗室 2023-6-6

1.對抗都是成本對抗，魔改一尺道高一丈，它增加了對抗難度，那么我們則提高檢測方案
2.可以在注入時候，通過是否注入成功來判斷是否我們的注入情況，如果注入失敗，說明可能存在你說的，反注入的情況，通過這樣低成本方式來檢測潛在注入

回復 已采納
RJ45實驗室 2023-6-6

或者通過下列方法進行查殺

 

回復
《冰蝎、蟻劍Java內存馬查殺防御技術》
  參與學習     25 人
  提問次數     1 個
《冰蝎，蟻劍Java內存馬查殺防御技術》紅藍對抗、內存馬查殺原理及專殺制作、溯源取證
學習課程
我的問答 領取收益
0
我的提問
0
我的回答
0
學習收益
?2000 - 2025 看雪 / 滬ICP備2022023406號 / 滬公網安備 31011502006611號

郵件