有个小小的疑问

[xsshim]

请问本地查杀只能监测Java启动的进程吗，我在windows上运行Tomcat进程，好像没办法监控到tomcat上的内存马

[4ra1n]

@xsshim
首先启动不要直接 java -jar 启动，需要 java -cp 指定 tools.jar 和 gui.jar 后启动
启动后点击获得运行的 java 进程是否存在，一般 Tomcat 应该是 Bootstrap
如果存在的话，任意输一个密码点击 attach 即可（注意agent.jar需要在当前目录）
具体的操作可以查看 readme 中的 b站视频

[xsshim]

操作应该没有问题

[4ra1n]

@xsshim 双击这一项会自动填充 pid 到输入框，然后点击开始attach，看看日志输出

[4ra1n]

@xsshim 如果attach成功，日志输入没问题，点击开始分析，就会显示 filter/servlet 等信息了

[xsshim]

这个Application是这个内存马查杀自己的进程，不是tomcat的进程，tomcat的进程不知道为什么没有检测出来

[4ra1n]

@xsshim 我大概明白了，因为你启动 tomcat 使用 exe 等启动器，我只考虑了通过 startup.bat 启动 tomcat 的情况。试试通过这种方式启动

[zy696]

本质是权限的问题，attach调用的是CreateRemoteThread，只能注入当前用户session，无法attach以服务形式启动的tomcat