JSP後門，一般是指文件名以.jsp等後綴結尾的，可運行於Java servlet及相關容器和組件內的通用JSP腳本。
本文主要討論利用Java反射機制和Java類加載機制構造JSP系統命令執行後門，並繞過一般軟件檢測的方法。
原文出處：https://xz.aliyun.com/t/2342
－－－－－－－－－－－－－－－－－－－
如果你認同支持我們每日分享的文章的話，請幫我們按個讚並且點擊追蹤「搶先看」，這樣就可以快速獲得最新消息囉！
您的分享及點讚，是我們最大的動力來源。
https://www.facebook.com/LonelyPoPo/
波波觀點：JSP 後門偵測不能只看檔案特徵
Java 反射與類加載機制讓 WebShell 偵測變得更複雜。攻擊者不一定直接留下明顯的 JSP 後門檔案，也可能透過動態載入、記憶體馬、變形類別名稱或框架入口繞過掃描。因此這類文章很適合從「靜態檔案檢查」延伸到「執行期行為與日誌關聯」。只看單一特徵碼，容易漏掉變形樣本。
實務檢查清單
- 檢查可寫目錄、上傳路徑、臨時目錄與異常 JSP、class、jar 檔案。
- 比對存取日誌、錯誤日誌、User-Agent、非常態參數與短時間大量請求。
- 盤點反射、類加載、ScriptEngine、Runtime.exec 等高風險呼叫點。
- 檢查 CI/CD、備份檔、測試頁、管理介面與舊版框架是否暴露。
防禦與修補建議
Java Web 站台應該把檔案權限、部署流程與執行權限一起管理。上傳目錄不應允許執行 JSP，應用程式帳號不應具備過高系統權限，管理介面必須限制來源 IP 與強化驗證。若已懷疑遭入侵，除了刪除可疑檔案，也要檢查記憶體、排程、啟動腳本與外連線索。
這篇文章後續可以加入偵測規則範例、常見 WebShell 行為與防禦架構圖。對讀者來說，這會比只列出繞過技巧更完整，也能自然連結到漏洞分析、Blue Team 偵測與事件應變內容。
