[请求适配] 内存马生成包名特征

[ctfer888]

适配范围

Describe the scope you want to adapt to

测试发现，生成的包名都是org.apache.http.web.handlers.{{五位随机数}}.xxxFilter，使用工具排查时可一眼定位到随机数packege名，比如我列出所有Filter，如果是org.apache.http.client.xxxfilter，那么将只列出xxxfilter。

但是一旦有随机数，将会列出整个org.apache.http.web.handlers.{{五位随机数}}.xxxFilter

jmg生成的包名只能查到xxxfilter

相关资料

Please list some useful links

• link1

[ViCrack]

包名类名可以自定义，我倒是觉得问题不大。包名一般按习惯都是用小写字母，程序随机里面还包括了大写，作者这块不如考虑优化成小写，更隐蔽符合习惯

[ReaJason]

添加随机数是为了测试过程中重复注入内存马不至于因为类名相同，注入失败，这种情况无论把随机数放在什么地方其实都能看出来异常的，因此为了 bypass 人眼类名识别，需要使用自定义类名来实现了，所以这部分似乎确实没啥优化的必要。

[ReaJason]

org.apache.http.web.handlers.xxx{{五位随机数}}Filter 默认这种格式如何

[ViCrack]

org.apache.http.web.handlers.xxx{{五位随机数}}Filter 默认这种格式如何

我查了下，哥斯拉是用一个内置的存有大量全限定类名的文件来生成

而冰蝎则是简单的随机拼接

如果真要做到随机和强伪装性，那么不如考虑参考哥斯拉那种放一个存在大量常见类名的配置文件，来随机选择，同时随机把类名的其中一两个字母转换大小写（包名保持小写）；或者随机对类名增加/删除几个字符；或替换相似字符（如 o → 0）

这种情况下，类重复的几率应该极小，同时人眼应该很难一眼看出异常，而且也更灵活提供给了用户自定义的空间（可自己换配置文件）