目前很多大型厂商都选择使用Java进行Web项目的开发，近年来随着各种JAVA指定环境RCE漏洞的出现，Java Web的安全逐渐被人们所重视，与漏洞相关的还有用于后期维持权限的Webshell。与PHP不同的是，JSP的语言特性较为严格，属于强类型语言，并且在JDK9以前并没有所谓的eval函数。一般而言JSP的变形免杀较为困难，但是依旧存在很多的”黑魔法”。
不知攻，焉知防。阿里云安骑士Webshell检测系统在迭代升级过程中，除了内部的不断绕过尝试以外，也长期邀请大量白帽子进行持续的绕过测试。经过不断总结沉淀在JSP Webshell查杀引擎方面我们形成了基于字节码跟反汇编代码的检测方式，可以有效对抗云上高强度对抗性样本。
一、JSP的命令执行JSP全称”Java Server Page”，其本质是一种Java Servlet。
JSP在第一次被访问的时候会先被翻译成Java文件，这个步骤由Tomcat等web容器完成；接着Java文件会被编译成JVM可以识别的class文件，这个步骤由JDK完成。
JSP WebShell案例请参考：
GitHub - threedr3am/JSP-WebShells: Collect JSP webshell of vari
