登录免费注册

首页  思维导图  详情



 



Rasp学习

Rasp学习

2022-03-14 18:29:34   6  举报





AI智能生成

RASP的介绍、底层原理、工作流程、以及技术难点

java学习路线

模板推荐

作者其他创作

大纲/内容

是什么

RSAP将自身注入到应用程序中，与应用程序融为一体，实时监测、阻断攻击，使程序自身拥有自保护的能力。

特点：无需编码时进行任何的修改，只需进行简单的配置即可<br><br>

举例：WAF大部分是基于规则去拦截的（也有小部分WAF是带参数净化功能的），也就是说，如果你的请求参数在他的规则中存在，那么waf都会对其进行拦截，这样会导致误报率大幅提升，但是RASP技术可以做到在应用程序将sql语句预编译的时候，RASP可以在其执行之前将其拦截下来进行检测，如果sql语句没有危险操作，则正常放行，不会影响程序本身的功能。如果存在恶意攻击，则直接将恶意攻击的请求进行拦截或净化参数。<br>

总结：WAF通过规则的语句还会进入到数据库（全靠规则、比较死）<br>RASP在预编译后进入数据库前进行监测（能结合上下文、更灵活）

注入方法

Servlet Filter:  在请求响应路径上，只能对http报文过滤处理

JVM重构: 植入JVM内部, 基于JVM的安全控制层实现RASP容器。需要对JVM非常熟悉，<font color="#f44336">难度很大</font>。国外waratek采用这种方法<br><br>

Java Instrument： <font color="#e57373">最普遍的做法</font>（主要了解怎么改注入方法的原理）

图示

子主题

需要解决的问题：<br>

1、如何注入检测代码（java_agent 插桩）<br><br>2、在哪些访问控制点注入（Transformer写需要被hook的条件，比如哪些类，哪些方法等）<br><br>3、注入之后如何检测攻击（每种攻击监测方式不同）<br><br>4、检测到攻击后如何处理

Rasp技术实现（底层原理）

RASP技术实现实质是在<font color="#f57f17">不接触应用源码的情况下，对函数进行Hook操作</font>，本模块内容利用JVM接口（Java Instrument）对字节码进行操作

对字节码进行操作（基础知识）

1、ASM（性能最高）

* 一个JAVA字节码分析、创建和修改的开源应用框架<br>* 允许开发者自由的在一个已经编译好的类中添加新的方法，或者是修改已有的方法。<br>

优点：可以用JVM指令直接操作字节码，更灵活；性能高；功能丰富<br>缺点：需要了解jvm指令和class文件结构技术要求高

2、Javassist

* 一个开源的分析、编辑和创建Java字节码的类库。<br>* 允许开发者自由的在一个已经编译好的类中添加新的方法，或者是修改已有的方法。<br>

优点：简单，直接使用java编码的形式，而不需要了解虚拟机指令，就能动态改变类的结构，或者动态生成类。<br>缺点：性能略低于ASM。百度产品OpenRasp利用此方法进行开发

3、JDK反射

动态代理虽然灵活性高，但仍然需要使用相关的类库，进行动态代理的配置，并融合到应用的源代码中，不是理想的解决方案。

基本架构

子主题

rasp整体流程

1、启动流程

1、启动时首先会进入 javaagent 的 premain 函数，该函数会在 main 函数之前预先执行。<br><br>

2、初始化字节码转换模块给load class 操作进行插桩操作，当类加载的时候会先进入 agent 进行处理hook指定函数

2、启动后hook流程

简述上述两张图的流程：<br>1、.因为启动时候进行了插桩操作，当有类被 ClassLoader 加载时候，所以会把该类的字节码先交给自定义的 Transformer 处理

2、自定义 Transformer 会判断该类是否为<font color="#ff9800">需要 hook 的类</font>，如果需要会将该类交给ASM字节码处理框架进行处理。

3、ASM框架会将<font color="#f57c00">类</font>的字节码依照事件驱动模型逐步<font color="#ff9800">解析每个方法</font>，当触发了我们需要hook的方法，我们会在方法的开头或者结尾插入<font color="#f44336">进入检测函数</font>的字节码

4、把hook好的字节码返回给transformer从而载入虚拟机

技术难点

利用java_agent插桩:https://www.cnblogs.com/liboware/p/12391510.html

javaAgent是运行方法之前的拦截器关键方法

核心：transform内设置要监控的类，需要hook的方法

Transformer判断需要被hook的方法<br>

在transform方法中进行关键函数hook，实现我们的防护程序

hook过程中，ASM如何注入保护逻辑

先学习ASM字节码操作框架相关方法：https://www.jb51.net/article/103709.htm

各种攻击形式应对的保护方法（具体做法）

子主题

 Collect

Get Started

学习

 Collect

Get Started

适配小组学习计划

 Collect

Get Started

高考DFD学习强国学习积分

 Collect

Get Started

学习资源













评论

0 条评论

下一页



图形选择

思维导图

主题

补充说明

AI生成





修改AI描述

去编辑

重新生成

提示 

关闭后当前内容将不会保存，是否继续？

取消

确定

Document