jsp webshell

凌晨两点，我盯着终端里那个只有三行的jsp文件，后背发凉。它伪装成一张图片上传到了服务器，文件名是`logo.jpg.jsp`——Windows系统默认隐藏最后那个扩展名，运维小哥根本没察觉。

这就是jsp webshell的可怕之处。它不需要复杂的漏洞利用链，只要你的应用有个上传点没做严格过滤，或者临时目录权限过宽，几百字节的代码就能让你整个服务器变成别人的肉鸡。我见过最狠的一个，整个代码就一行：`<%Runtime.getRuntime().exec(request.getParameter("cmd"));%>`——简单粗暴，但足够致命。

别以为webshell都是那种大块头带界面的“菜刀”马。真正危险的是那些精简到极致的微型马。它们藏在日志文件里，混在静态资源中，甚至被拆分成多段拼接在正常的jsp文件注释里。有个客户中招后我们排查了三天，最后发现攻击者把代码拆成五段，分别藏在五个不同业务的jsp页面里——每段单独看都是合法变量声明，合起来就是完整的命令执行后门。

检测这玩意儿，说实话，靠特征库扫描已经不够用了。现在稍微有点水平的攻击者都会做编码混淆，Base64、Unicode转义、动态拼接，甚至利用EL表达式递归调用。我见过用`${ pageContext.request.getAttribute}`绕过的案例，也见过把命令写入cookie再执行的骚操作。静态扫描工具在这种马面前基本是瞎子。

真正有效的防护思路得反过来——不用费劲找马，直接盯行为。jsp webshell再能藏，最终要执行系统命令或者读写文件，必然产生对应的进程调用和文件操作。用RASP（运行时应用自我保护）挂钩关键API，或者干脆把web容器的系统权限降到最低，让它即使被上传了也没权限干坏事。我有个朋友的公司更绝，直接给jsp引擎加了个安全过滤器，任何包含`Runtime`、`ProcessBuilder`、`Class.forName`关键字的请求直接拦掉——误伤了一些正常功能，但人家服务器再没被黑过。

话说回来，jsp这技术本身就快成老古董了，新项目谁还用这玩意儿？但遗留系统改不动啊，银行、政府、传统企业的老系统里全是jsp页面。这些系统往往还连着内网数据库，一旦被webshell控制，等于给攻击者递了把进入核心网络的钥匙。去年某省社保系统泄露几千万条数据，事后调查发现入口就是一个被人遗忘的测试用jsp上传接口。

最后说点实际的。如果你还在维护jsp老系统，每周至少把所有jsp目录的修改时间过一遍，把写权限从web用户组里去掉，上传目录单独分区且禁用执行权限。要是服务器已经被攻破过，别只删马——攻击者可能早就留了多个后门，甚至改了系统用户。重装系统，彻底重来，别心疼那点时间。

这行干久了你会发现，安全对抗的本质就是攻防双方谁更了解系统的每一个细节。jsp webshell之所以能猖獗这么多年，恰恰是因为太多人只关心业务功能，忽略了底层那点看似不起眼的执行机制。代码越短，危险越大——记住这句话，能让你少熬几个像我这样的夜。