搜索

[15313] 2020-04-29_企业快速实践部署IASTRASP的一种新思路

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-04-29_企业快速实践部署IASTRASP的一种新思路 企 业 快 速 实 践 部 署 I A S T / R A S P 的 一 种 新 思 路 平 安 应 用 安 全 团 队   F r e e B u f   2 0 2 0 - 0 4 - 2 9 引 言 ： 引 言 ： 近 两 年 ， 百 度 的 近 两 年 ， 百 度 的 O p e n R a s p 在 安 全 业 内 大 火 ， 各 大 厂 的 安 全 团 队 都 在 纷 纷 跟 进 研 究 ， 捣 鼓 自 己 的 在 安 全 业 内 大 火 ， 各 大 厂 的 安 全 团 队 都 在 纷 纷 跟 进 研 究 ， 捣 鼓 自 己 的 I A S T / R A S P 产 产 品 。 作 为 一 支 有 追 求 的 安 全 团 队 ， 自 然 要 推 动 这 类 新 兴 技 术 在 行 内 落 地 。 但 想 要 大 面 积 覆 盖 全 行 应 用 中 ， 项 目 品 。 作 为 一 支 有 追 求 的 安 全 团 队 ， 自 然 要 推 动 这 类 新 兴 技 术 在 行 内 落 地 。 但 想 要 大 面 积 覆 盖 全 行 应 用 中 ， 项 目 的 推 广 、 适 配 、 运 维 方 面 的 挑 战 都 是 不 小 的 。 这 里 分 享 我 们 实 践 的 一 个 新 思 路 ， 能 有 效 的 达 到 了 快 速 部 署 的 目 的 推 广 、 适 配 、 运 维 方 面 的 挑 战 都 是 不 小 的 。 这 里 分 享 我 们 实 践 的 一 个 新 思 路 ， 能 有 效 的 达 到 了 快 速 部 署 的 目 的 。 的 。 0 x 0 1 挑 战 挑 战 I A S T / R A S P 的 原 理 这 里 就 不 介 绍 了 ， 其 主 要 优 点 就 是 检 测 精 准 。 技 术 是 好 技 术 ， 但 要 在 企 业 中 大 规 模 部 署 ， 它 的 缺 点 也 很 明 显 ： 要 实 现 大 规 模 部 署 ， 我 行 几 千 应 用 系 统 、 几 万 服 务 器 的 适 配 、 测 试 、 部 署 、 维 护 … 这 推 广 、 维 护 工 作 太 重 。 虽 然 在 c 0 d e b r e a k 大 佬 团 队 的 努 力 下 ， r a s p   a g e n t 对 服 务 器 的 性 能 影 响 已 可 控 制 到 3 % 左 右 。 但 在 银 行 交 易 系 统 中 ， 我 们 也 不 敢 轻 易 “ 玩 火 ” ， 只 能 将 目 标 锁 定 在 后 管 类 系 统 上 。 好 吧 ， 觉 得 以 上 难 搞 也 许 是 我 的 缺 点 。 除 此 之 外 ， 我 行 自 动 发 版 工 具 会 将 t o m c a t 容 器 整 包 替 换 ， 导 致 之 前 部 署 的 r a s p A g e n t 丢 失 。 虽 然 这 个 问 题 很 好 解 决 ， 但 是 提 议 的 两 个 方 案 ， 都 以 不 符 合 管 理 规 范 而 惨 遭 否 决 。 0 x 0 2   一 个 不 成 熟 的 想 法 一 个 不 成 熟 的 想 法 如 果 不 用 从 0 推 广 A g e n t 、 不 用 适 配 测 试 、 不 用 运 维 就 能 实 现 I A S T / R A S P 能 力 的 落 地 ， 那 就 好 了 ～ 理 想 一 定 要 有 ， 万 一 实 现 了 呢 。 然 后 ， 就 有 了 以 下 这 个 思 路 ： 实 现 也 很 简 单 ， 一 些 A P M 应 用 监 控 平 台 （ 如 C A T 、 W i s e A P M 、 D a p p e r 等 ， 我 行 使 用 的 是 C A T ， 本 文 以 C A T 为 例 ） 的 客 户 端 同 I A S T / R A S P   a g e n t 实 现 原 理 一 致 ， 用 的 是 j a v a 字 节 码 技 术 ， 通 过 插 桩 记 录 程 序 运 用 时 的 堆 栈 数 据 ， 来 分 析 应 用 健 康 度 。 而 它 所 监 控 的 数 据 就 有 安 全 所 感 兴 趣 的 ， 比 如 说 原 生 s q l l o g 、 关 联 的 接 口 信 息 、 服 务 器 信 息 等 等 。 一 般 此 类 A P M 都 是 由 架 构 运 维 部 门 负 责 ， 且 基 本 能 够 覆 盖 绝 大 数 业 务 系 统 ， 已 完 成 从 0 到 1 的 大 面 积 推 广 及 运 维 保 障 。 如 果 安 全 赋 （ 寄 ） 能 （ 生 ） 在 它 们 的 a g e n t 上 ， 就 能 解 决 我 们 的 问 题 。
C A T 架 构 要 基 于 C A T 的 A g e n t 实 现 I A S T / R A S P 的 漏 洞 检 测 能 力 ， 规 则 放 在 客 户 端 运 行 ， C A T 那 边 肯 定 是 不 会 同 意 的 ， 且 可 能 对 应 用 影 响 较 大 ， 不 建 议 介 入 太 深 。 只 能 看 看 安 全 关 心 的 应 用 数 据 ， 然 后 再 进 行 离 线 分 析 就 可 以 了 。 当 然 具 体 能 检 测 哪 些 问 题 ， 还 是 要 看 C A T 做 了 哪 些 函 数 的 插 桩 埋 点 ， 这 里 就 不 再 赘 述 。 下 面 以 S Q L 注 入 为 例 ， 介 绍 下 我 们 的 实 践 过 程 。 0 x 0 3   技 术 实 现 技 术 实 现 为 什 么 要 从 为 什 么 要 从 S Q L 注 入 入 手 。 原 因 有 两 点 ： 注 入 入 手 。 原 因 有 两 点 ： 1 . 此 类 A P M 平 台 ， 基 本 上 都 有 S Q L 性 能 分 析 ， 所 以 基 本 上 都 可 以 提 供 原 生 S Q L 数 据 ， 这 是 现 成 的 。 而 其 他 漏 洞 可 能 还 需 要 增 加 埋 点 。 2 . 去 年 我 们 团 队 搞 了 大 半 年 的 被 动 扫 描 器 ， 由 于 S Q L 注 入 黑 盒 测 试 造 成 大 量 脏 数 据 ， 以 及 准 确 率 等 问 题 ， 一 直 比 较 头 疼 。 正 好 借 此 机 会 来 优 化 一 下 。 首 先 需 要 C A T 对 原 生 s q l 进 行 一 定 的 处 理 ， 补 充 记 录 所 属 应 用 、 服 务 器 I P 、 s q l 关 联 的 接 口 等 信 息 ， 最 终 形 成 s q l l o g 。 输 出 如 下 格 式 ： 剩 下 就 是 将 全 行 集 成 C A T 的 应 用 记 录 的 所 有 s q l l o g 收 集 下 来 ， 集 中 推 送 到 安 全 的 k a f k a 中 ， 再 设 计 检 测 程 序 逐 条 消 费 。 架 构 如 下 ： 由 于 依 赖 于 C A T ， 我 们 的 项 目 代 号 为 B l a c k C A T （ 黑 猫 警 长   J ） 。 上 图 中 ， 被 动 扫 描 器 只 在 主 动 式 I A S T 场 景 下 的 充 当 无 脑 发 包 器 ， 对 抓 的 所 有 流 量 进 行 全 量 标 记 盲 打 ， 与 B l a c k C A T 分 析 引 擎 无 需 联 动 。 有 溯 源 必 要 时 ， 可 在 r e q u e s t 中 加 { " a p p i d " : " x x x x " , " i p " : " 1 9 2 . 1 6 8 . 1 . 1 0 0 " , " s o u r c e " : " U R L : / x x x / a b c / c u s t I n f o . d o " , " s q l " : " s e l e c t   *   f r o m   t _ u s e r   w h e r e   u s e r n a m e   =   ? " }
一 些 特 征 标 识 ， 如 在 u r l 后 或 h e a d e r 中 追 加 B l a c k C A T 参 数 ， 通 过 c a t l o g 同 步 通 知 B l a c k C A T 即 可 。 以 m y b a t i s 项 目 监 测 情 况 为 例 ， # { p a r a m } 和 $ { p a r a m } 插 桩 J D B C 记 录 到 的 s q l 是 不 一 样 的 。 预 编 译 的 s q l 的 入 参 是 占 位 符 “ ？ ” ， 而 使 用 拼 接 的 s q l 可 以 看 到 入 参 内 容 。 预 编 译 ： s e l e c t   *   f r o m   t _ u s e r   w h e r e   u s e r n a m e   =   ？ 拼 接 ： s e l e c t   *   f r o m   t _ u s e r   w h e r e   u s e r n a m e   =   “ h e l e n ” 但 在 真 实 复 杂 的 应 用 场 景 中 ， 还 无 法 仅 凭 是 否 有 占 位 符 来 判 断 是 否 存 在 s q l 注 入 ， 很 多 情 况 下 ， 应 用 内 部 的 s q l 也 有 很 多 ， 所 有 要 确 认 是 存 在 漏 洞 ， 还 需 要 找 到 用 户 入 口 。 0 x 0 4   检 测 逻 辑 检 测 逻 辑 理 清 了 数 据 以 及 确 定 目 标 ， 就 可 以 去 设 计 离 线 检 测 策 略 了 。 目 前 我 们 共 实 现 三 种 检 测 逻 辑 ： m a r k 标 识 位 、 黑 名 单 检 测 、 入 参 比 对 ， 分 别 对 应 测 试 环 境 中 I A S T 漏 洞 扫 描 以 及 生 产 环 境 中 R A S P 攻 击 监 测 （ R A S P 暂 时 只 实 现 告 警 ） 。 m a r k * * 标 识 位 * * （ 主 动 式   I A S T ） ： 在 被 动 扫 描 器 上 新 增 一 个 i a s t 插 件 ， 对 测 试 区 全 部 流 量 进 行 参 数 注 入 ， 在 v a l u e 后 拼 接 上 一 个 标 记 字 符 串 。 B l a c k C A T 异 步 监 控 分 析 全 行 应 用 的 执 行 S Q L 。 如 在 发 现 某 些 S Q L 中 有 标 识 位 进 入 ， 则 可 判 断 该 属 主 应 用 使 用 了 拼 接 S Q L 且 存 在 用 户 入 口 ， 存 在 安 全 漏 洞 。 标 识 位 检 测 日 志 黑 名 单 检 测 黑 名 单 检 测 （ R A S P 攻 击 告 警 ） 这 里 目 前 实 施 了 两 种 方 式 ： 1 . 通 过 黑 名 单 规 则 检 索 s q l 中 的 可 疑 的 p a y l o a d ， 这 点 参 考 W A F 策 略 。 相 较 于 W A F ， 好 在 如 果 发 现 有 p a y l o a d 进 入 s q l ， 那 就 存 在 漏 洞 且 攻 击 成 功 。 但 由 于 都 是 维 护 黑 名 单 规 则 ， 即 可 能 存 在 误 报 漏 报 。 2 . 统 计 在 s q l 中 检 索 单 引 号 数 量 ， 判 断 总 数 是 否 为 奇 数 引 号 。 一 般 如 出 现 奇 数 引 号 ， 可 能 为 人 为 注 入 测 试 ， 可 判 断 有 潜 在 攻 击 者 ， 且 已 发 现 漏 洞 。 入 参 比 对 入 参 比 对 （ 被 动 式 I A S T 及 R A S P 攻 击 告 警 ） 入 参 比 对 是 将 r e q u e s t 中 的 入 参 值 与 关 联 的 s q l 的 入 参 进 行 比 对 。 P O S T   / x x x / a b c / c u s t I n f o . d o   H T T P / 1 . 1         H o s t :   1 9 2 . 1 6 8 . 1 . 1 0 0 : 8 0         U s e r - A g e n t :   M o z i l l a / 5 . 0   ( M a c i n t o s h ;   I n t e l   M a c   O S   X   1 0 _ 1 5 _ 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 8 1 . 0 . 4 0 4 4 . 1 2 2   S a f a r i / 5 3 7 . 3 6         A c c e p t :   * / *         R e f e r e r :   h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 0 0 / a d m i n         A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 9         C o o k i e :   t o k e n = 1 2 3 4 5 6 7 8 9         u s e r n a m e = h e l e n M a r k e d b y s c a n s e l e c t   *   f r o m   t _ u s e r   w h e r e   u s e r n a m e   =   " h e l e n M a r k e d b y s c a n "
如 发 现 二 者 入 参 数 存 在 一 致 的 v a l u e ， 则 可 确 认 存 在 漏 洞 ， 因 为 用 户 输 入 参 数 被 拼 接 带 入 了 s q l 中 去 。 在 此 基 础 上 ， 再 判 断 是 否 为 攻 击 ， 可 通 过 v a l u e 是 否 被 带 入 未 转 义 的 特 殊 字 符 （ 如 空 格 ， 引 号 ， 斜 杠 等 等 ） ， v a l u e 是 否 包 含 除 字 符 串 以 外 的 其 他 元 素 。 如 为 真 ， 存 在 攻 击 ； 也 可 以 直 接 提 取 原 生 s q l 的 查 询 条 件 v a l u e ， 分 析 对 比 请 求 入 参 是 否 能 在 提 取 的 v a l u e 中 找 到 。 如 为 假 ， 则 存 在 攻 击 。 0 x 0 5   效 果 效 果 到 此 为 止 ， 我 们 就 基 于 C A T 初 步 实 现 了 I A S T / R A S P 能 力 了 ， 虽 然 初 期 检 测 逻 辑 还 略 显 粗 糙 ， 但 在 实 际 应 用 中 ， 还 是 取 得 了 不 错 的 效 果 。 测 试 区 上 线 短 短 1 周 内 ， 自 动 发 现 S Q L 注 入 3 0 多 例 ， 内 部 安 全 同 事 的 s q l 注 入 测 试 百 余 起 。 后 期 就 是 继 续 增 加 埋 点 和 优 化 策 略 ， 来 增 加 检 测 的 漏 洞 类 型 。 测 试 区 I A S T 漏 洞 扫 描
生 产 区 R A S P 攻 击 检 测 告 警 这 种 基 于 于 这 种 美 其 名 曰 安 全 赋 能 ， 实 着 抱 大 腿 的 合 作 模 式 ， 其 好 处 就 在 于 可 以 快 速 、 无 感 地 推 动 I A S T / R A S P 能 力 的 大 规 模 覆 盖 ， 且 无 需 担 心 对 应 用 有 任 何 影 响 。 当 然 ， 这 样 的 I A S T / R A S P 能 力 覆 盖 面 取 决 于 应 用 监 控 C A T 的 推 广 程 度 。 在 我 行 ， 全 行 绝 大 数 应 用 都 已 集 成 C A T ， 其 中 包 括 各 类 重 要 核 心 应 用 。 现 在 无 论 是 生 产 还 是 测 试 ， 都 不 用 考 虑 那 些 头 疼 的 推 广 适 配 、 部 署 运 维 ， 只 要 牢 牢 的 抱 住 大 腿 … 参 考 ： 参 考 ： h t t p s : / / g i t h u b . c o m / b a i d u / o p e n r a s p * 本 文 作 者 ： 平 安 银 行 应 用 安 全 团 队 ， 转 载 请 注 明 来 自 本 文 作 者 ： 平 安 银 行 应 用 安 全 团 队 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理