agent

4ra1n · 4ra1n · commit 466e177be000 · 2022-02-17T00:49:48.000+08:00
diff --git a/README.md b/README.md
@@ -20,7 +20,7 @@
 
 ## 分类
 
-当前问题总数：78
+当前问题总数：79
 
 [Java本身的安全问题 - 16个](https://github.com/4ra1n/JavaSecInterview/tree/master/java)
 
@@ -32,7 +32,7 @@
 
 [Spring框架相关的安全问题 - 16个](https://github.com/4ra1n/JavaSecInterview/tree/master/spring)
 
-[内存马专题 - 8个](https://github.com/4ra1n/JavaSecInterview/tree/master/memshell)
+[内存马专题 - 9个](https://github.com/4ra1n/JavaSecInterview/tree/master/memshell)
 
 [反序列化CC链专题 - 8个](https://github.com/4ra1n/JavaSecInterview/tree/master/cc)
 
diff --git a/memshell/README.md b/memshell/README.md
@@ -14,9 +14,11 @@ Java Agent内存马：这种方式不仅限于`Tomcat`或`Spring`
 
 直接能想到的办法是利用Java Agent遍历所有JVM中的class，判断是否是内存马
 
-例如使用阿里的arthas分析，查看是否存在恶意的类名，然后删除
+例如使用阿里的arthas分析，根据继承实现类黑名单，注解包名类名等黑名单来做
 
-或者使用c0ny1师傅的java-memshell-scanner项目，从Tomcat API角度删除
+例如`LandGrey`师傅的`copagent`项目，根据黑名单和风险注解作为依据，
+
+或者使用c0ny1师傅的`java-memshell-scanner`项目，从Tomcat API角度删除
 
 
 
@@ -59,6 +61,18 @@ Java Agent内存马：这种方式不仅限于`Tomcat`或`Spring`
 
 
 
+### Java Agent内存马的查杀的难点是什么（★★★★）
+
+JVMTI有
+
+一般Agent内存马会调用`Java Agent`提供的`redefineClass`方法加入内存马
+
+如果想检测，拿到的字节码并不是修改过的字节码，而是原始字节码，因此无法判断某个类是否合法
+
+准确描述：无法获取到被`redefineClass`修改后的字节码，只能获取到被`retransformClass`修改后的字节码
+
+
+
 ### 如果有一个陌生的框架你如何挖内存马（★★★）
 
 核心是找到类似`Tomcat`和`Spring`中的`Context`对象，然后尝试从其中获取`request`和`response`对象以实现内存马的功能。
