先知社区 - 内存马资料

内存马不是一个新概念，但多数人第一次接触它，都是在应急响应现场看到一堆说不清的异常请求，或者在做 Java 代码审计时被问到「这个 Filter 是什么时候注册的」。这份资料就是围绕这个具体场景展开的，解决的是「知道内存马存在，但说不清它在 Tomcat、Spring 里到底怎么落地」的问题。

它解决的是哪类工作场景

如果你做的是 Web 安全、渗透测试，或者负责线上 Java 应用的应急排查，这套内容对应的工作场景很明确：拿到一个已经 getshell 的 Tomcat 环境，需要判断攻击者是否留了不写文件的内存后门；或者在研究 Fastjson、组件反序列化时，想搞清楚从漏洞点到稳定控制之间还差哪一步。它不面向「完全没接触过 Java Web」的读者，前置要求是能看懂 Servlet 容器的基础结构，知道 Filter、Listener、Servlet 的加载时机，否则读起来会比较吃力。

内容覆盖了哪些框架和注入路径

资料的重心放在 Tomcat 和 Spring 两端，这也是实际遇到最多的组合。Tomcat 部分花了较多篇幅处理 StandardContext 的获取问题，包括全版本通用的获取思路，以及被 Tomcat 本身机制拒绝时的绕行方案。Spring 方向则结合 Fastjson 的反序列化链路，讲怎么把内存马注进去，属于漏洞利用和内存马技术的交叉点。另外还有一块单独讲 JSP 型内存马，适合理解最朴素的一种形态，作为对照。

Executor 相关的内容有两份，篇幅都不小，说明作者在这个方向上做了比较细的展开，涉及通过线程池、Executor 组件维持控制的实现方式，属于偏进阶的部分，建议在前面的基础概念理顺之后再碰。

学完之后能独立做什么

• 能判断一个 Java 应用里是否存在通过 Filter、Servlet、Listener 注册的内存后门，并说清它的注册链路；
• 能针对 Tomcat 环境复现基础的注入过程，理解 StandardContext 在其中的作用；
• 能看懂 Fastjson 反序列化到 Spring 内存马这条利用链的完整走向，而不是只停留在 PoC 层面；
• 在做应急响应时，能列出需要重点检查的容器组件和请求特征，而不是只靠查文件落地。

需要说明的是，这些内容偏向原理和实现，不等于一份「查杀手册」。真正的检测和清除还要结合具体版本的容器实现、日志和流量特征，资料本身给的是理解框架，不是现成的处置流程。

适合什么基础的人看

比较合适的读者是：有 Java Web 开发或运维经验，能读懂 Servlet 规范的基本概念；或者做安全方向，已经接触过反序列化漏洞，想补齐「注入之后怎么维持访问」这一段。如果你连 Tomcat 的类加载器结构都不熟，建议先补这部分再回来，否则 StandardContext 相关的章节会卡住。

反过来，如果你的目标只是给业务系统做常规安全加固，这套内容的深度可能超出需要，投入产出比不一定高。

怎么用这份资料

建议按「JSP 型内存马 → Tomcat 下 StandardContext 获取 → Spring 结合 Fastjson → Executor 实现」的顺序读，先建立最简模型，再逐步叠加复杂度。Executor 那两份内容体量偏大，可以放在最后，读的时候对照代码而不是只看结论。全部过完之后，最好能自己在一个隔离环境里完整走一遍注入和排查的流程，否则停留在「看懂了」的层面，遇到真实环境还是无从下手。