大橙子网站建设,新征程启航
为企业提供网站建设、域名注册、服务器等服务
这篇文章将为大家详细讲解有关Java中怎么实现RASP机制,文章内容质量较高,因此小编分享给大家做个参考,希望大家阅读完这篇文章后对相关知识有一定的了解。
创新互联公司服务项目包括镇江网站建设、镇江网站制作、镇江网页制作以及镇江网络营销策划等。多年来,我们专注于互联网行业,利用自身积累的技术优势、行业经验、深度合作伙伴关系等,向广大中小型企业、政府机构等提供互联网行业的解决方案,镇江网站推广取得了明显的社会效益与经济效益。目前,我们服务的客户以成都为中心已经辐射到镇江省份的部分城市,未来相信会继续扩大服务区域并继续获得客户的支持与信任!
RSAP
RASP是Gartner公司提出的一个概念,称:程序不应该依赖于外部组件进行运行时保护,而应该自身拥有运行时环境保护机制;
RASP就是运行时应用自我保护(Runtime application self-protection)的缩写,正如RASP字面意思一样,这是运行在运行时的一种防护技能;也就是说RASP能够在程序运行期间实施自我保护,监控与过滤有害信息,还能够拥结合程序的当前上下文实施精确、实时的防护;
Java中的RASP
不严格来说Java是半编译、半解释型语言,我们也都知道Java中也有运行时(Runtime)那Java的运行时在哪呢?
不急,我们先看看Java从编译到运行的流程图;
上图的流程为:Java编译程序如Javac编译.java源码文件,生成Java字节码文件.class,接着.class文件进入JVM中解释执行; 从中我们可以看到Java的最后执行阶段是在JVM中,也就可以说Runtime运行时是JVM的重要组成部分;除此之外我们还发现
Java中实现RASP的几个关键点:
1、 我们的防护程序必须能够分析、修改java的.class文件;
2、 必须在JVM解释执行.class文件时进行注入(Java Runtime);
通过上面的分析我们知道了要实现Java的RASP所要具备的能力,然后我们发现在Java中有Javassist、与ASM可以实现对Java字节码的修改;有了修改.class字节码文件的技能,还需要能够在Java运行期间注入我们的防护程序,通过上面我们发现Java运行时是发生在JVM中,通过查找相关资料与JVM参数发现在JVM参数中有-javaagent参数配置Java代理可以在 运行时注入我们的防护程序;
Java RASP实现
在上面的分析中我们发现只要在JVM的-javaagent参数 中配置我们的保护程序,就能够轻松实现Java的RASP;
Java代理程序入口类需要有名为premain的静态方法 ,还需要在jar的META-INF/MAINIFEST.MF文件中包含 Premain-Class配置,下面是RASP保护程序的入口类;
JavaRASPApp:
/** * @author linx * @date 2017-06-25*/public class JavaRASPApp { public static void premain(String agentArgs, Instrumentation instru) throws ClassNotFoundException, UnmodifiableClassException { System.out.println("premain"); instru.addTransformer(new ClassTransformer()); }}
ClassTransformer类实现了Java的代理程序机制提供的ClassFileTransformer接口 ,能够在运行时(Runtime)对类的字节码进行替换与修改;
ClassTransformer也很简单,只有一个实现方法:transform,此方法中可以获取得到ClassLoader、className、classfileBuffer等,分别为类加载器、类名、字节码 ;
此时我们可以在transform方法中做文章,实现我们的防护程序;
/** * @author linxin * @version v1.0 * Copyright (c) 2017 by linx * @date 2017/6/23.*/ public class ClassTransformer implements ClassFileTransformer { public byte[] transform(ClassLoader loader, String className, Class> classBeingRedefined, ProtectionDomain protectionDomain, byte[] classfileBuffer){ byte[] transformeredByteCode = classfileBuffer; try { if (className.equals("co/solinx/demo/Test")) { System.out.println(String.format("transform start %s",className)); ClassReader reader = new ClassReader(classfileBuffer); ClassWriter writer = new ClassWriter(ClassWriter.COMPUTE_MAXS); ClassVisitor classVisitor = (ClassVisitor) createVisitorIns("co.solinx.demo.visitor.TestVisitor", writer, className); reader.accept(classVisitor, ClassReader.EXPAND_FRAMES); transformeredByteCode = writer.toByteArray(); } } catch (Exception e) { e.printStackTrace(); }catch (Throwable t){ t.printStackTrace(); } return transformeredByteCode;} public Object createVisitorIns(final String name, ClassVisitor cv, String className) throws NoSuchMethodException, InstantiationException, IllegalAccessException, InvocationTargetException, ClassNotFoundException { Constructor> ctor = Class.forName(name).getDeclaredConstructor(new Class[]{ClassVisitor.class, String.class}); ctor.setAccessible(true); return ctor.newInstance(new Object[]{cv, className}); }}
可以看到我们在transform方法中co/solinx/demo/Test类进行拦截,并通过ASM修改字节码注入我们的保护逻辑,下面代码是TestVisitorAdapter类中的onMethodEnter方法实现了通过ASM调用拦截器,抛出异常的字节码;
@Overrideprotected void onMethodEnter() { mv.visitTypeInsn(NEW,"co/solinx/demo/filter/SqlFilter"); mv.visitInsn(DUP); mv.visitMethodInsn(INVOKESPECIAL,"co/solinx/demo/filter/SqlFilter","
SqlFilter拦截类:
public class SqlFilter {public boolean filter(Object sql){ boolean ret=false; System.out.println(String.format("sql filter : %s ",sql)); if(sql.toString().contains("1=1")){ ret=true; } return ret;}}
TestVisitorAdapter类中的onMethodEnter方法中通过调用filter拦截器,返回true就是被拦截了,抛出异常,否则放行;至此一个简单的JAVA RASP demo就完成了; 通过后面的方式即可使用我们的RASP程序:java -javaagent:respjar-1.0-SNAPSHOT.jar app.jar;
关于Java中怎么实现RASP机制就分享到这里了,希望以上内容可以对大家有一定的帮助,可以学到更多知识。如果觉得文章不错,可以把它分享出去让更多的人看到。