Repository navigation
[请求适配] 内存马生成包名特征 #129
Description
适配范围
Describe the scope you want to adapt to
测试发现，生成的包名都是org.apache.http.web.handlers.{{五位随机数}}.xxxFilter，使用工具排查时可一眼定位到随机数packege名，比如我列出所有Filter，如果是org.apache.http.client.xxxfilter，那么将只列出xxxfilter。
但是一旦有随机数，将会列出整个org.apache.http.web.handlers.{{五位随机数}}.xxxFilter
jmg生成的包名只能查到xxxfilter
相关资料
Please list some useful links
- link1
Activity
ViCrack commentedon Dec 26, 2025
包名类名可以自定义，我倒是觉得问题不大。包名一般按习惯都是用小写字母，程序随机里面还包括了大写，作者这块不如考虑优化成小写，更隐蔽符合习惯
ReaJason commentedon Dec 28, 2025
添加随机数是为了测试过程中重复注入内存马不至于因为类名相同，注入失败，这种情况无论把随机数放在什么地方其实都能看出来异常的，因此为了 bypass 人眼类名识别，需要使用自定义类名来实现了，所以这部分似乎确实没啥优化的必要。
ReaJason commentedon Jan 8, 2026
org.apache.http.web.handlers.xxx{{五位随机数}}Filter默认这种格式如何ViCrack commentedon Jan 9, 2026
我查了下，哥斯拉是用一个内置的存有大量全限定类名的文件来生成
而冰蝎则是简单的随机拼接
如果真要做到随机和强伪装性，那么不如考虑参考哥斯拉那种放一个存在大量常见类名的配置文件，来随机选择，同时随机把类名的其中一两个字母转换大小写（包名保持小写）；或者随机对类名增加/删除几个字符；或替换相似字符（如 o → 0）
这种情况下，类重复的几率应该极小，同时人眼应该很难一眼看出异常，而且也更灵活提供给了用户自定义的空间（可自己换配置文件）