搜索

[14772] 2019-11-03_OpenRASP梳理总结

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-11-03_OpenRASP梳理总结 O p e n R A S P 梳 理 总 结 贝 斯 柯 德 伯 爵   F r e e B u f   2 0 1 9 - 1 1 - 0 3 R A S P 的 诞 生 的 诞 生 R A S P 英 文 为 英 文 为   R u n t i m e   a p p l i c a t i o n   s e l f - p r o t e c t i o n ， 即 运 行 时 应 用 程 序 自 我 保 护 。 ， 即 运 行 时 应 用 程 序 自 我 保 护 。 “ 运 行 时 应 用 程 序 自 我 保 护 运 行 时 应 用 程 序 自 我 保 护 ” 的 概 念 由 的 概 念 由 G a r t n e r 在 在 2 0 1 4 年 提 出 ， 含 义 是 ： 对 应 用 服 务 的 保 护 不 应 该 依 赖 于 外 部 系 统 ， 应 用 应 该 具 备 自 我 保 护 的 能 力 。 这 意 味 着 ， 年 提 出 ， 含 义 是 ： 对 应 用 服 务 的 保 护 不 应 该 依 赖 于 外 部 系 统 ， 应 用 应 该 具 备 自 我 保 护 的 能 力 。 这 意 味 着 ， R A S P 在 程 序 执 行 期 间 运 行 ， 在 程 序 执 行 期 间 运 行 ， 使 程 序 能 够 自 我 监 控 并 识 别 有 害 的 输 入 和 行 为 。 使 程 序 能 够 自 我 监 控 并 识 别 有 害 的 输 入 和 行 为 。 O p e n R A S P   是 该 技 术 的 开 源 实 现 ， 它 改 变 了 防 火 墙 依 赖 请 求 特 征 来 拦 截 攻 击 的 模 式 。 是 该 技 术 的 开 源 实 现 ， 它 改 变 了 防 火 墙 依 赖 请 求 特 征 来 拦 截 攻 击 的 模 式 。 R A S P   运 行 在 应 用 程 序 的 内 部 ， 监 听 每 一 个 与 应 用 程 序 交 换 的 节 点 ， 覆 盖 所 有 应 用 程 序 的 访 问 节 点 ， 包 括 ： 用 户 、 数 据 库 、 网 络 和 文 件 系 统 ， 从 而 实 时 监 测 并 拦 截 漏 洞 攻 击 。 R A S P   的 亮 点 在 于 “ 自 我 保 护 “ ， 能 够 在 运 行 时 结 合 上 下 文 采 取 相 应 的 保 护 方 案 。 受 R A S P 保 护 的 应 用 程 序 对 防 火 墙 等 外 部 设 备 提 供 的 安 全 保 护 的 依 赖 较 小 ， 当 检 测 到 威 胁 时 ， R A S P 可 以 防 止 威 胁 被 利 用 ， 并 且 采 取 其 他 操 作 进 行 阻 止 ， 如 终 止 用 户 会 话 ， 关 闭 应 用 程 序 ， 警 告 安 全 人 员 并 向 用 户 发 送 警 告 等 。 R A S P 旨 在 缩 小 应 用 安 全 测 试 和 网 络 边 界 控 制 所 留 下 的 空 白 地 带 ， 深 入 应 用 运 行 环 境 内 部 ， 实 时 了 解 数 据 和 事 件 流 ， 以 监 测 或 阻 止 开 发 过 程 中 无 法 预 见 的 新 威 胁 。 通 俗 来 讲 ， R A S P 将 安 全 保 护 代 码 嵌 入 到 运 行 中 的 服 务 器 应 用 程 序 ， 它 会 实 时 拦 截 所 有 的 系 统 调 用 并 确 保 调 用 安 全 ， 最 终 实 现 应 用 程 序 自 我 保 护 。 O p e n R A S P   V S   W A F 首 先 ， 形 式 化 的 理 解 W A F 与 O p e n R A S P 的 区 别 。 如 果 将 要 保 护 的 应 用 程 序 比 作 一 个 办 公 楼 ， 那 么 W A F 的 形 象 就 是 一 个 门 卫 。 每 当 大 楼 走 进 一 个 人 ， 他 只 会 将 其 拦 下 来 检 查 这 个 人 的 特 征 ， 对 比 特 征 库 ， 如 果 这 个 人 不 是 “ 在 案 ” 的 坏 蛋 ， 就 放 行 。 虽 然 特 征 库 在 不 停 升 级 ， 但 是 从 坏 人 的 角 度 来 看 ， 这 样 的 门 卫 并 非 无 懈 可 击 。 因 为 一 旦 坏 人 换 了 一 顶 帽 子 、 穿 了 马 甲 ， 有 些 技 术 水 平 一 般 的 门 卫 （ W A F ） 就 不 能 识 别 了 。 对 于 智 能 程 度 高 一 些 的 门 卫 （ W A F ） ， 对 方 可 以 通 过 “ 整 容 ” 、 “ 换 人 ” 等 方 式 ， 加 大 成 本 再 次 骗 过 门 卫 （ W A F ） 的 眼 睛 。 因 此 ， 如 果 想 有 效 地 阻 止 坏 人 ， W A F   必 须 以 非 常 高 的 频 率 升 级 特 征 库 ， 但 即 使 是 这 样 ， 它 仍 然 无 法 摆 脱 两 个 弊 端 ： 1 、 永 远 追 在 敌 人 后 面 跑 。 2 、 高 居 不 下 的 误 报 率 。 O p e n R A S P 相 当 于 在 这 栋 大 楼 的 每 个 办 公 室 里 都 设 置 了 一 位 管 家 。 坏 人 进 入 大 楼 ， 肯 定 是 要 做 坏 事 的 。 所 以   O p e n R A S P 的 思 路 是 ： 你 长 了 一 张 什 么 脸 我 并 不 关 心 ， 重 要 的 是 你 有 没 有 在 房 间 里 做 出 “ 攻 击 动 作 ” 。 根 据 之 前 的 介 绍 ， O p e n R A S P 是 在 运 行 时 结 合 上 下 文 采 取 相 应 的 保 护 方 案 ， 而 W A F 掌 握 的 是 应 用 程 序 的 入 口 流 量 。 这 意 味 着 这 两 种 安 全 系 统 可 供 判 断 的 信 息 量 是 不 一 样 的 。 按 照 之 前 的 例 子 ， 在   W A F   所 代 表 的 “ 门 卫 模 型 ” 中 ， 如 果 一 个 人 带 着 锤 子 进 入 办 公 楼 ， 门 卫 无 权 拦 截 他 ， 因 为 这 个 人 并 没 做 什 么 伤 天 害 理 的 事 情 ， 而 且 依 照 规 章 ， 带 锤 子 进 入 办 公 室 也 未 尝 不 可 。 而 对 于   O p e n R A S P   所 代 表 的 “ 管 家 模 型 ” 中 ， 同 样 还 是 这 个 人 ， 进 入 办 公 室 之 后 ， 却 猛 地 用 锤 子 砸 向 文 件 柜 上 面 的 锁 ， 那 么 毋 庸 多 言 ， 管 家 直 接 撂 倒 便 是 。 门 卫 不 敢 拦 下 这 个 拿 锤 子 的 人 ， 是 因 为 他 不 掌 握 这 个 人 接 下 来 的 行 动 信 息 。 而 房 间 里 的 管 家 ， 却 是 有 充 足 的 信 息 从 而 做 出 判 断 的 。 实 际 上 ， O p e n R A S P   身 处 应 用 内 部 ， 还 有 诸 多 的 好 处 。 总 结 下 来 ， 围 绕 以 下 四 个 关 键 词 ： 误 报 率 低 误 报 率 低 从 广 义 的 角 度 来 讲 ， 黑 客 的 “ 攻 击 ” 包 括 两 个 方 面 ： 扫 描 和 实 际 进 攻 。 这 就 像 是 窃 贼 在 盗 窃 之 前 对 应 我 们 的 例 子 就 是 坏 人 的 “ 踩 点 ” 和 “ 盗 窃 ” 。 “ 踩 点 ” 并 不 违 法 ， 甚 至 不 必 在 意 。 办 公 楼 被 各 种 人 打 量 ， 并 不 意 味 这 一 定 会 被 盗 窃 。 黑 客 使 用 一 种 典 型 的 “ 广 种 薄 收 ” 的 策 略 ， 借 助 自 动 化 工 具 ， 进 行 扫 描 ， 如 果 你 的 系 统 没 有 攻 击 价 值 ， 或 没 有 他 掌 握 的 漏 洞 ， 黑 客 根 本 就 不 会 对 你 采 取 下 一 步 动 作 。 也 就 是 说 ， 黑 客 进 行 的 扫 描 行 为 可 能 是 实 际 进 攻 行 为 的 万 倍 或 亿 倍 之 多 。 自 动 化 程 序 进 行 的 扫 描 ， 可 能 是 一 个 根 本 不 存 在 的 路 径 。 但 是 由 于   W A F   不 掌 握 应 用 内 部 的 信 息 ， 它 没 办 法 判 断 扫 描 的 危 害 性 有 多 大 ， 因 此 保 险 起 见 只 能 报 警 。 O p e n R A S P 知 道 应 用 内 部 的 路 径 ， 所 以 就 会 选 择 不 报 警 。 因 此 ， O p e n R A S P 误 报 率 低 。 兼 容 性 强 兼 容 性 强 一 个 正 常 的 应 用 ， 在 U R L 里 面 用 “ & ” 来 分 割 请 求 参 数 ， 但 是 ， 在 有 些 语 言 中 ， 也 可 以 用 “ ; ” 来 分 割 。 如 果 不 知 道 参 数 还 可 以 这 样 写 ， 那 么 就 一 定 会 漏 掉 一 些 攻 击 的 代 码 。 W A F   存 在 于 应 用 之 外 ， 它 不 知 道 也 不 关 心 应 用 本 身 是 什 么 语 言 写 成 的 。 这 就 很 难 完 全 兼 容 后 端 应 用 的 特 性 ， 而 O p e n R A S P 的 开 发 团 队 根 据 J a v a 、 P H P 等 每 一 种 语 言 来 独 立 开 发 ， 虽 然 会 耗 费 很 多 时 间 和 精 力 ， 但 是 换 来 了 非 常 好 的 兼 容 性 。 防 护 快 成 本 低 防 护 快 成 本 低
正 如 上 文 的 例 子 ， W A F 无 法 识 别 针 对 同 一 类 漏 洞 、 但 是 经 过 不 同 伪 装 的 攻 击 。 W A F 无 法 识 别 这 些 相 似 攻 击 的 内 在 联 系 ， 因 此 只 能 针 对 每 一 种 攻 击 逐 一 添 加 规 则 。 这 样 做 不 只 “ 笨 ” ， 而 且 “ 慢 ” 。 因 为 一 旦 黑 客 成 功 突 破 进 入 系 统 ， 就 有 可 能 迅 速 安 插 后 门 。 后 门 设 置 成 功 ， 就 相 当 于 多 了 一 条 供 他 来 去 自 由 的 密 道 ， 根 本 不 用 再 走 大 门 。 W A F   再 想 发 现 他 的 难 度 就 大 大 增 加 。 O p e n R A S P 在 应 用 内 部 监 控 实 时 数 据 ， 将 攻 击 动 作 抽 象 为 一 种 “ O G N L 表 达 式 ” ， 只 要 是 利 用 原 理 相 同 的 攻 击 手 法 ， 无 论 外 表 怎 么 翻 新 ， 都 可 以 被 直 接 识 别 。 从 某 种 程 度 上 说 ， 它 可 以 防 护 “ 未 知 攻 击 ” 。 规 范 应 用 编 码 安 全 规 范 应 用 编 码 安 全 O p e n R A S P 还 可 以 起 到 做 好 内 部 安 全 规 范 的 作 用 ， 比 如 机 密 文 件 不 能 随 意 放 置 ， 不 要 把 钥 匙 挂 在 锁 上 等 等 。 将 O p e n R A S P 嵌 入 到 应 用 中 ， 随 着 系 统 开 发 流 程 ， 可 以 警 告 和 纠 正 编 码 规 范 问 题 造 成 的 漏 洞 ； 可 以 辅 助 服 务 器 调 整 安 全 基 线 ， 例 如 服 务 器 的 某 些 安 全 策 略 是 不 是 被 开 启 ， 是 不 是 存 在 弱 密 码 等 等 问 题 。 最 后 ， R A S P 的 不 足 的 不 足 ： 开 发 难 度 开 发 难 度 R A S P   是 针 对 应 用 程 序 的 ， 每 个 应 用 程 序 都 必 须 有 独 立 的 探 针 ， 不 能 像 防 火 墙 一 样 只 在 入 口 放 置 一 个 设 备 就 可 以 了 。 这 样 增 加 了 部 署 困 难 和 防 范 不 完 整 的 风 险 。 不 过 ， 目 前 在 我 行 的 t o m c a t 服 务 器 和 W e b s p h e r e 服 务 器 上 都 可 以 成 功 安 装 。 性 能 损 耗 性 能 损 耗 由 于 在 每 个 应 用 内 部 都 强 势 安 插 了 很 多 “ 内 线 ” ， O p e n R A S P 最 初 版 本 C P U   性 能 损 耗 可 达 2 0 % 。 该 团 队 为 解 决 性 能 损 耗 过 高 的 问 题 ， 最 后 选 择 用 火 狐 最 新 版 的   R h i n o   引 擎 替 代 之 前 的 谷 歌   V 8   引 擎 来 编 写 代 码 。 目 前 已 将 C P U 的 性 能 损 耗 迅 速 降 到 了 1 % - 5 % 的 可 用 水 平 。 漏 洞 依 然 存 在 漏 洞 依 然 存 在 使 用   R A S P   并 不 是 真 正 建 立 一 个 安 全 的 应 用 ， 系 统 中 存 在 的 漏 洞 还 是 存 在 。 应 用 R A S P ， 只 是 临 时 提 供 一 个 虚 拟 补 丁 修 补 上 已 知 漏 洞 ， 如 果 不 用 R A S P ， 这 些 漏 洞 还 是 存 在 。 另 外 R A S P 也 不 能 修 复 所 有 的 漏 洞 ， 漏 洞 时 刻 在 更 新 。 因 此 ， 将 R A S P 和 扫 描 工 具 结 合 起 来 将 会 更 有 价 值 。 部 署 部 署 R A S P 搭 环 境 主 要 分 为 两 部 分 ： 服 务 端 和 客 户 端 一 、 服 务 端 （ 一 、 服 务 端 （ L i n u x 环 境 ） 环 境 ） 环 境 需 要 至 少 2 G 内 存 ， j a v a 环 境 ， 创 建 一 个 非 r o o t 用 户 （ 后 面 会 叙 述 ） 根 目 录 下 四 个 压 缩 包 ： j d k - 8 u 1 9 2 - l i n u x - x 6 4 . t a r . g z 、 e l a s t i c s e a r c h - 5 . 6 . 8 . t a r . g z 、 m o n g o d b - l i n u x - x 8 6 _ 6 4 - 3 . 6 . 9 . t g z 、 r a s p - c l o u d . t a r . g z 。 （ 一 ） 配 置 环 境 变 量 1 . 解 压 缩 2 . 修 改 j d k 文 件 权 限 3 . 配 置 环 境 变 量 用 文 本 编 辑 器 打 开   / e t c / p r o f i l e ， 在 p r o f i l e 文 件 末 尾 加 入 生 效 命 令 （ 二 ） 安 装 E S 并 运 行 1 . 解 压 缩 t a r   - x z v f   j d k - 8 u 1 9 2 - l i n u x - x 6 4 . t a r . g z c h m o d   - R   7 5 5   / j d k 1 . 8 . 0 _ 1 9 2 e x p o r t   J * * A _ H O M E = / j d k 1 . 8 . 0 _ 1 9 2 e x p o r t   P A T H = $ J * * A _ H O M E / b i n : $ P A T H   e x p o r t   C L A S S P A T H = . : $ J * * A _ H O M E / l i b / d t . j a r : $ J * * A _ H O M E / l i b / t o o l s . j a r s o u r c e   / e t c / p r o f i l e t a r   - x z v f   / e l a s t i c s e a r c h - 5 . 6 . 8 . t a r . g z
2 . 创 建 一 个 非 r o o t 用 户 注 ： 这 是 因 为 e l a s t i c s e a r c h 不 能 用 r o o t 启 动 3 . 启 动 E S （ 1 ） 进 入 解 压 缩 后 的 e l a s t i c s e a r c h 文 件 夹 （ 以 解 压 缩 后 的 名 字 为 准 ） （ 2 ） 测 试 E S 是 否 可 以 正 常 运 行 此 时 可 以 看 到 是 否 启 动 成 功 ， 如 果 启 动 成 功 请 c t r l + c 停 止 ， 进 一 步 使 用 命 令 在 后 台 启 动 。 （ 3 ） 正 式 后 台 启 动 注 ： 可 按 补 全 文 件 名 ： 敲 了 e l a 后 按 它 自 动 补 全 （ 三 ） 安 装 m o n g o d b 并 运 行 1 . 解 压 缩 m o n g o d b - l i n u x - x 8 6 _ 6 4 - 3 . 6 . 9 . t g z 2 . 创 建 用 作 存 储 的 文 件 目 录 3 . 启 动 m o n g o d （ 1 ） 进 入 解 压 缩 后 的 m o n g o d b 文 件 夹 （ 以 解 压 缩 后 的 名 字 为 准 ） （ 2 ） 正 式 后 台 启 动 （ 四 ） 运 行 管 理 后 台 1 . 解 压 缩 r a s p - c l o u d . t a r . g z 2 . 启 动 管 理 后 台 （ 1 ） 进 入 解 压 缩 后 的 r a s p - c l o u d 文 件 夹 （ 以 解 压 缩 后 的 名 字 为 准 ） （ 2 ） 正 式 后 台 启 动 （ 五 ） 检 查 是 否 运 行 成 功 1 . 查 看 端 口 号 2 . 访 问 管 理 后 台 u s e r a d d   r a s p s u   r a s p c d   / e l a s t i c s e a r c h - 5 . 6 . 8 b i n / e l a s t i c s e a r c h b i n / e l a s t i c s e a r c h   - d t a r   - x z v f   / m o n g o d b - l i n u x - x 8 6 _ 6 4 - 3 . 6 . 9 . t g z m k d i r   - p   / d a t a / d b c d   / m o n g o d b - l i n u x - x 8 6 _ 6 4 - 3 . 6 . 9 b i n / m o n g o d   - - f o r k   - - l o g p a t h   / d a t a / l o g   - - d b p a t h   / d a t a / d b t a r   - x z v f   / r a s p - c l o u d . t a r . g z . / r a s p - c l o u d   - d . / r a s p - c l o u d   - d n e t s t a t   - a n p t : 9 2 0 0 e s : 2 7 0 1 7 m o n g o : 8 0 8 6 r a s p 后 台 h t t p : / / 服 务 器 i p : 8 0 8 6 账 号 ： o p e n r a s p 初 始 密 码 ： a d m i n @ o p e n r a s p
二 、 探 针 端 （ 客 户 端 ） 二 、 探 针 端 （ 客 户 端 ） 环 境 需 要 j a v a 环 境 （ j d k ） ， r a s p 支 持 的 中 间 件 一 个 压 缩 包 ： r a s p - j a v a . t a r . g z 。 （ 一 ） 配 置 环 境 变 量 尽 量 使 用 程 序 本 身 的 j a v a 环 境 L i n u x 配 置 j a v a 环 境 说 明 ： h t t p s : / / w w w . c n b l o g s . c o m / y j d _ h y c f _ s p a c e / p / 7 8 8 5 0 9 9 . h t m l w i n d o w s 配 置 j a v a 环 境 说 明 ： h t t p s : / / w w w . c n b l o g s . c o m / z e l l a / p / 8 3 0 9 6 4 6 . h t m l （ 二 ） 安 装 探 针 1 . 解 压 r a s p - j a v a . t a r . g z 2 . 安 装 探 针 （ 1 ） 进 入 解 压 缩 后 的 r a s p 文 件 夹 （ 以 解 压 缩 后 的 名 字 为 准 ） （ 2 ） 安 装 r a s p 注 ： / p a t h / t o / t o m c a t   为   t o m c a t 程 序 目 录 ， X X X X 与 管 理 后 台 I P 具 体 内 容 命 令 请 登 陆 登 陆 h t t p : / / 管 理 后 台 管 理 后 台 I P : 8 0 8 6 /   点 击   添 加 主 机 添 加 主 机   查 看 。 （ 3 ） 重 启 t o m c a t 生 效 服 务 （ 三 ） 检 查 探 针 是 否 安 装 成 功 登 陆 h t t p : / / 管 理 后 台 I P : 8 0 8 6 /   点 击   主 机 管 理   查 看 运 行 状 态 。 附 录 附 录 参 考 ： h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / w e b / 1 6 4 4 1 3 . h t m l h t t p : / / b l o g . n s f o c u s . n e t / ? s = r a s p h t t p s : / / b l o g . c s d n . n e t / w a n g p e n g 1 9 8 6 8 8 / a r t i c l e / d e t a i l s / 5 0 3 4 1 2 1 7 h t t p s : / / r a s p . b a i d u . c o m / d o c / i n s t a l l / c o m p a t . h t m l h t t p : / / b l o g . o n e a p m . c o m / a p m - t e c h / 2 7 0 . h t m l * 本 文 作 者 ： 本 文 作 者 ： 贝 斯 柯 德 伯 爵 ， 转 载 请 注 明 来 自 贝 斯 柯 德 伯 爵 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 t a r   - x z v f   r a s p - j a v a . t a r . g z c d   r a s p - 2 0 1 9 - 0 7 - 1 1 j a v a   - j a r   R a s p I n s t a l l . j a r   - i n s t a l l   / p a t h / t o / t o m c a t   - a p p i d   X X X X X X X X     - a p p s e c r e t   X X X X X X X X X X X X X   - b a c k e n d u r l   h t t p : / / 管 理 后 台 I P : 8 0 8 6 / c d   / p a t h / t o / t o m c a t b i n / s h u t d o w n . b a t       #   关 闭 t o m c a t 服 务 b i n / s t a r t u p . b a t         #   启 动 t o m c a t 服 务   或   c a t a l i n a . b a t   r u n 启 动
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理