企业官网建设流程全解析

RedTeam_BlueTeam_HW｜内存马检测：从内存shellcode狩猎到溯源反制的完整实战

【免费下载链接】RedTeam_BlueTeam_HW红蓝对抗以及护网相关工具和资料，内存shellcode（cs+msf）和内存马查杀工具项目地址: https://gitcode.com/gh_mirrors/re/RedTeam_BlueTeam_HW

RedTeam_BlueTeam_HW 内存马检测与内存 shellcode 查杀工具集，面向红蓝对抗实战。下面把蓝队工具、红队工具、防守资料三类入口讲一遍，并跑通最小可用流程。

为什么需要它：找到不落地的内存马

护网时红队常用 Struts2 反序列化把内存马打进 Tomcat，磁盘上一个文件都不写。蓝队查 web 访问日志，请求都长得像正常页面；全盘扫 webshell 也没发现；哥斯拉、冰蝎流量又是加密的，抓到包也看不出执行了什么。更麻烦的是它不落盘，文件监控完全看不出来。没有内存马狩猎和流量解密工具，这个后门能在进程里安安静静活几周，重启后红队再打进来，一切重来。

能力全景：红蓝工具的四类入口

核心机制拆解：三步狩猎分别怎么做

Arthas 怎么列出 JVM 里的内存马

挂到目标进程，枚举运行时实际加载的 Filter/Servlet 类，"只在内存、不在磁盘"的就是嫌疑恶意类，内存马清除命令随后靠重启把它们清掉，完成 JVM 恶意类卸载。

先…再…最后：先用 Arthas 挂到目标进程；再用sc枚举类、watch拦截方法调用；最后和磁盘里的 class 文件对一遍，锁定只存在于内存的类。

最小命令：java -jar arthas-boot.jar

如果失败：attach 不上先检查执行用户是否和进程属主一致；sc无输出就换全限定类名匹配。

内存签名扫描怎么识别 CS beacon

把目标进程内存和已知 Cobalt Strike 特征做匹配，命中后从内存里解析出 beacon 配置。

先…再…最后：先把CobaltStrikeScan.exe放到目标机器；再选可疑 PID 扫一遍进程内存；最后从解析结果里读出 C2 地址和公钥，确认 beacon。

最小命令：CobaltStrikeScan.exe

如果失败：扫不到可能是 beacon 休眠或被免杀裁剪，让它先发起一次外连再扫；也可以 dump 内存后用 Yara 规则离线匹配。

哥斯拉流量怎么解密溯源

解密哥斯拉、冰蝎的加密 webshell 流量，还原出命令流，留下溯源证据。

先…再…最后：先用代理或抓包拿到可疑流量；再解压LiqunShield.7z，把抓到的包喂给它的解密模块；最后对照服务器日志，确认攻击时间和执行过的命令。

最小命令：7z x Blue_Tools/LiqunShield.7z

如果失败：解密不出多半是自定义密钥，换已知密钥试；或先确认抓包来自该模块支持的哥斯拉版本。

跑通最小流程：从克隆到第一次扫描

1. git clone https://gitcode.com/gh_mirrors/re/RedTeam_BlueTeam_HW，成功后能看到 Blue_Tools、Red_Tools、doc、hw 等目录。
2. ls Blue_Tools，能看到 jar 工具箱、两个内存扫描 exe 和 LiqunShield.7z。
3. java -jar Blue_Tools/BlueTeamTools.jar，弹出蓝队工具箱界面或帮助信息。
4. Windows 上执行script\winSensorCheck.bat，列出 Temp、ProgramData 等敏感目录里近期改动的文件，并检查 anydesk、向日葵是否存在。

延伸资源

• Arthas在内存马查杀中的应用
• 利用Yara快速狩猎内存中的威胁
• Tomcat Filter类型内存马与查杀技术

【免费下载链接】RedTeam_BlueTeam_HW红蓝对抗以及护网相关工具和资料，内存shellcode（cs+msf）和内存马查杀工具项目地址: https://gitcode.com/gh_mirrors/re/RedTeam_BlueTeam_HW