干货 | 冰蝎、哥斯拉 内存马应急排查方式汇总

作者：Zgao
原文地址：https://zgao.top/%e5%86%b0%e8%9d%8e%e3%80%81%e5%93%a5%e6%96%af%e6%8b%89-%e5%86%85%e5%ad%98%e9%a9%ac%e5%ba%94%e6%80%a5%e6%8e%92%e6%9f%a5/

内存马的排查方式汇总。内存马的原理分析网上有很多文章，这里就不介绍了。通过实验分析如何在实战环境中快速定位内存马。

实验环境

• Centos / tomcat 7.0.76

• 冰蝎v4.0.5

• 哥斯拉v4.0.1

• Arthas 3.6.6

环境搭建

安装tomcat

通过yum安装tomcat。

yum install -y tomcat tomcat-webapps tomcat-admin-webappssystemctl start tomcat

启动后访问8080端口，看到tomcat起来了。

安装 Arthas

https://github.com/alibaba/arthas/releases

下载压缩包解压执行

wget https://github.com/alibaba/arthas/releases/download/arthas-all-3.6.6/arthas-bin.zipunzip arthas-bin.zipjava -jar arthas-boot.jar

哥斯拉 内存马

用哥斯拉生成