本文就筆者研究RASP的過程進行了一些概述，技術干貨略少，偏向于普及RASP技術。中間對java如何實現rasp技術進行了簡單的舉例，想對大家起到拋磚引玉的作用，可以讓大家更好的了解一些關于web應用程序安全防護的技術。文筆不好，大家輕拍。

一 、什么是RASP？

在2014年的時候，Gartner引入了“Runtime application self-protection”一詞，簡稱為RASP。它是一種新型應用安全保護技術，它將保護程序像疫苗一樣注入到應用程序中，應用程序融為一體，能實時檢測和阻斷安全攻擊，使應用程序具備自我保護能力，當應用程序遭受到實際攻擊傷害，就可以自動對其進行防御，而不需要進行人工干預。

RASP技術可以快速的將安全防御功能整合到正在運行的應用程序中，它攔截從應用程序到系統的所有調用，確保它們是安全的，并直接在應用程序內驗證數據請求。Web和非Web應用程序都可以通過RASP進行保護。該技術不會影響應用程序的設計，因為RASP的檢測和保護功能是在應用程序運行的系統上運行的。

二、RASP vs WAF

很多時候大家在攻擊中遇到的都是基于流量規則的waf防御，waf往往誤報率高，繞過率高，市面上也有很多針對不同waf的繞過方式，而RASP技術防御是根據請求上下文進行攔截的，和WAF對比非常明顯，比如說：

攻擊者對url為http://http.com/index.do?id=1進行測試，一般情況下，掃描器或者人工測試sql注入都會進行一些sql語句的拼接，來驗證是否有注入，會對該url進行大量的發包，發的包可能如下：

?

http://xxx.com/index.do?id=1' and 1=2--

但是應用程序本身已經在程序內做了完整的注入參數過濾以及編碼或者其他去危險操作，實際上訪問該鏈接以后在數據庫中執行的sql語句為：

?

select id,name,age from home where id='1 \' and 1=2--'

可以看到這個sql語句中已經將單引號進行了轉義，導致無法進行，但是WAF大部分是基于規則去攔截的（也有小部分WAF是帶參數凈化功能的），也就是說，如果你的請求參數在他的規則中存在，那么waf都會對其進行攔截（上面只是一個例子，當然waf規則肯定不會這么簡單，大家不要鉆牛角尖。），這樣會導致誤報率大幅提升，但是RASP技術可以做到程序底層拼接的sql語句到數據庫之前進行攔截。也就是說，在應用程序將sql語句預編譯的時候，RASP可以在其發送之前將其攔截下來進行檢測，如果sql語句沒有危險操作，則正常放行，不會影響程序本身的功能。如果存在惡意攻擊，則直接將惡意攻擊的請求進行攔截或凈化參數。

三、國外的RASP

我搜集到國外RASP的產品有的下面幾個，可能列表不足，歡迎補充:P

公司名稱產品官網

Micro Focus	https://www.microfocus.com/en-us/products/application-defender/features
Prevoty	https://www.prevoty.com/
waratek	https://www.waratek.com/application-security-platform/
OWASP AppSensor	http://appsensor.org/
Shadowd	https://shadowd.zecure.org/overview/introduction/
immun	https://www.immun.io/features
Contrast Security	https://www.contrastsecurity.com/runtime-application-self-protection-rasp
Signal Sciences	https://www.signalsciences.com/rasp-runtime-application-self-protection/
BrixBits	http://www.brixbits.com/security-analyzer.html

筆者只列舉了部分國外產品，關于更多這些產品的介紹請大家自行咨詢。

根據上述收集到的國外RASP技術產品，發現大家都各有千秋，甚至還有根據RASP技術衍生出來的一些其他技術名詞以及解決方案。

并且大家對數據可視化越來越注重，讓使用者可以一目了然的看清楚入侵點以及攻擊鏈，以此來對特定的點進行代碼整改或者RASP技術層面的攻擊攔截。

四、國內RASP技術實現進度以及狀態

國內目前做RASP技術的廠家不多，我收集的只有以下幾家。如有不足，歡迎補充。

產品名稱產品官網概述

靈蜥	http://www.anbai.com/lxPlatform/	靈蜥是北京安百科技研發的一款RASP防御產品，而RASP安全研究團隊的核心是之前烏云核心成員，據我了解，烏云在2012年后半年左右的時候就對RASP技術開始進行研究了。目前靈蜥RASP安全防御技術以及升級到了2.0版本，對靈蜥1.0版本的架構以及防御點進行了大版本的升級，應該是目前防御比較完善的一家了。
OneRasp	https://www.oneapm.com/	然后藍海訊通研究的OneRasp也出現在市場，后面不知什么原因，藍海訊通好像放棄了對oneRasp的研究以及售賣，現在oneRasp官網以及下線。
OpenRasp	https://rasp.baidu.com/	在隨后可能就是大家都聽過或者用過百度開源的OpenRasp，百度開源的rasp產品讓更多的企業以及安全研究者接觸和認識到了rasp技術。該項目目前社區活躍度挺高，插件開發也很簡單，大大降低了使用門檻。
云鎖	https://www.yunsuo.com.cn	云鎖我是在18年的360安全大會上了解到的，官網將RASP技術列入了一個小功能，主打是的微隔離技術，關于微隔離技術，在這邊我們不做探討。有興趣的可以搜索一下相關的技術文章。
安數云	http://www.datacloudsec.com/#/product-4	安數云WEB應用實時防護系統RASP是在我寫這篇文章的時候，發現他們也開發了一款RASP產品才知道的。不過沒有找到其技術白皮書等可參考的文章。

五、各種語言RASP技術實現方式

1.JAVA

Java是通過Java Agent方式進行實現（Agent本質是java中的一個動態庫，利用JVMTI暴露的一些接口實現的），具體是使用ASM(`或者其他字節碼修改框架`)技術實現RASP技術。Java Agent有三種機制，分別是Agent_OnLoad、Agent_OnAttach、Agent_OnUnload，大部分時候使用的都是Agent_OnLoad技術和Agent_OnAttach技術，Agent_OnUnload技術很少使用。具體關于Java Agent的機制大家可以看一下下面這些文章：

JVMTM Tool Interface??javaagent加載機制分析??JVM 源碼分析之 javaagent 原理完全解讀

2.PHP

PHP是通過開發第php擴展庫來進行實現。

3..NET

.NET是通過IHostingStartup（承載啟動）實現，具體的大家可以下面這篇文章：

在 ASP.NET Core 中使用承載啟動程序集

4.other

RASP技術其實主要就是對編程語言的危險底層函數進行hook，畢竟在怎么編碼轉換以及調用，最后肯定會去執行最底層的某個方法然后對系統進行調用。由此可以反推出其hook點，然后使用不同的編程語言中不同的技術對其進行實現。

六、舉“栗子”

1.如何在Java中實現RASP技術

目前筆者我參與研究&研發了JAVA版本的RASP技術，下面給大家簡單的進行講解。

在jdk1.5之后，java提供一個名為Instrumentation的API接口，Instrumentation 的最大作用，就是類定義動態改變和操作。開發者可以在一個普通Java程序（帶有 main 函數的 Java 類）運行時，通過 – javaagent參數指定一個特定的 jar 文件（包含 Instrumentation 代理）來啟動 Instrumentation 的代理程序。

關于premain的介紹，大家可以去我博客看一下：java Agent簡單學習。

關于ASM的介紹以及使用，大家可以看一下下面的介紹：ASM官方操作手冊，AOP的利器：ASM3.0介紹關于ASM的時序圖，我這邊引用一下IBM上的一張圖：?

正文開始

首先編寫一個premain函數，然后在premain中添加一個我們自定義的Transformer。?

?

我們的Transformer需要實現ClassFileTransformer接口中的transform方法，我這邊就簡單的先進行一個打印包名的操作。

?

?

在編譯以后，運行結果如下：?

由此可見我們的transform已經生效了。 我們來簡單的類比一下加入agent以及未加入agent的過程。?

?

由此可見，在使用了transform以后，可以對jvm中的未加載的類進行重寫。已經加載過的類可以使用retransform去進行重寫。 在java中有個比較方便的字節碼操作庫，ASM（ASM是一個比較方便的字節碼操作框架，可以借助ASM對字節碼進行修改，這樣就可以實現動態修改字節碼的操作了。ASM介紹）

ClassVisitor接口，定義了一系列的visit方法，而這些visit方法。

下面這段代碼是對方法進行重寫的一個過程。

首先定義一個ClassVisitor，重寫visitMethod方法。?

?

?

可以看到該方法返回的對象為MethodVisitor(后面簡稱mv)，我們如果要修改其中的邏輯過程，需要對mv進行操作，下面展示一個簡單的修改代碼的過程。?

?

上面visitCode中代碼的大概意思為，插入一個調用TestInsert類中的hello方法，并且將一個數字8壓入進去。 TestInsert類的代碼如下：

?

如果不出意外，運行jar包以后將輸出類似下面這樣的信息：

?

可以看一下加入agent運行以后的類有什么變化。

源代碼：

加入Agent運行以后的源代碼：

可以看到代碼：

?

System.out.println(TestInsert.hello(8));

成功在：

?

System.out.println("Hello,This is TestAgent Program!");

之前運行，而調用TestInsert.hello這個方法在源代碼中原來是沒有的，我們是通過java的agent配合asm對運行的字節碼進行了修改，這樣就達到了埋點hook的目的。

在了解了上面的技術以后，就可以其他對關鍵的點進行hook了，hook的方法大同小異，這里僅僅是拋磚引玉，大家自行發揮。可以給大家推薦一個園長師傅寫的一個簡單例子：?javaweb-codereview

筆者展示的該例子項目地址為：javaagent

2.如何在PHP中實現RASP技術

關于php中的rasp技術實現，筆者我還沒有進行深入研究，大家可以參考以下兩個開源的擴展進行研究，筆者接下來也準備研究php方面的rasp技術實現，歡迎大家一起討論。

（1）xmark

（2）taint

七、RASP技術的其他方面應用場景

在RASP技術實現的過程中，我橫向了遐想一些其他的用法以及參考了一下其他rasp產品的功能點，比如：

代碼審計

對于rasp中運用到的技術，換一種思維方式，可以不進行攔截，而進行記錄，對所有記錄的日志結合上下文進行代碼審計。

0day防御

對已經hook的關鍵點進行告警通知并且要攔截攻擊行為，然后在公網部署多種不同cms的web蜜罐。如若已經觸發到了告警通知，那么已經證明攻擊已經成功。且攔截到的漏洞可能為0day。

攻擊溯源

對所有攻擊ip以及攻擊的文件進行聚合，用時間軸進行展示。這樣就可以定位到黑客是從上面時候開始進行攻擊的，攻擊中訪問了哪些文件，觸發了哪些攻擊攔截。然后對所有大致相同的ip進行歸類，可以引出來一個專業用于攻擊溯源的產品。

DevOps

對所有事件詳細信息提供完整的執行路徑，包括代碼行，應用程序中使用的完整上下文查詢以及豐富的屬性詳細信息。

其他方面

當然Rasp技術的應用場景肯定不止這么多，還有其他很多方面的一些應用場景，大家可以發散思維去想。本文章僅用于拋磚引玉。

八、RASP技術有什么缺陷

● 不同的編程語言可能編譯語言和應用程序的版本不一致都導致RASP產品無法通用，甚至導致網站掛掉；

● 如果RASP技術中對底層攔截點不熟悉，可能導致漏掉重要hook點，導致繞過；

● 對于csrf、ssrf、sql語句解析等問題目前還是基于部分正則進行防護(對于sql語句的解析問題可以使用AST語法樹進行解析)。

……

九、總結

目前RASP還處于一個發展的階段，尚未像防火墻等常見的安全產品一樣有非常明確的功能邊界(scope)，此文僅拋磚引玉，更多由RASP防御技術的用法可以發揮想象，比如日志監控、管理會話、安全過濾、請求管理等。 在研究RASP技術的時候，我發現RASP與APM有著部分相同的技術，APM本意是用于監控應用程序的，反轉思路，在APM中監控應用程序的時候加入漏洞防護功能，即可形成了一個簡單的RASP demo。在APM這方面，大家參考的對象可就很多了，比如：skywalking、newrelic等，skywalking是開源產品，在github上就可以直接查看其源代碼，而且是Apache的項目，而newrelic的所有agent都沒有進行任何代碼混淆，官方安裝文檔也很豐富，這些都是可以進行參考的。 由此可見，有時候技術換個平臺、換個想法，就是一個完全不一樣的東西了。所以對于任何技術都可以發散性的去想象一下其他的應用場景，萬一恰到好處呢？ 不論研究的技術是什么樣的，可能大家實現的方式不一樣，使用的技術不一樣，使用的名稱不一樣，不過最終的目的就是為了保護應用程序安全，防止攻擊者入侵成功。

十、參考

https://searchsecurity.techtarget.com/opinion/McGraw-on-why-DAST-and-RASP-arent-enterprise-scale

http://www.cnblogs.com/kingreatwill/p/9756222.html

https://techbeacon.com/security/it-time-take-rasp-seriously

https://www.gartner.com/doc/2856020/maverick-research-stop-protecting-apps

https://github.com/anbai-inc/javaweb-codereview/tree/master/javaweb-codereview-agent

https://www.03sec.com/3232.shtml

總結

以上是生活随笔為你收集整理的RASP技术攻防之基础篇的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。