Java 内存马通过动态注册 Filter、Servlet 或字节码增强 Agent 驻留 JVM 内存，不落盘于 Web 目录，传统文件查杀完全失效，需依赖 JVM 运行时堆转储与类加载器分析。
一、通过 Arthas 排查可疑 Filter 链
bash
# 启动 Arthas 附加到目标 JVM
java -jar arthas-boot.jar
# 查看所有已注册的 Filter 及其类加载器
sc -d *Filter*
# 反编译可疑类确认恶意逻辑
jad --source-only com.evil.EvilFilter