1.介绍

openRASP是一个百度的安全框架，将其集成到我们的web项目中，就像是给web项目安装了一款“安全管家”的软件，它可以检测到攻击，并进行拦截。

更多详细的说明可以参考官方文档：https://rasp.baidu.com/doc/

2.集成openRASP到项目中

openRASP针对不同的服务器，提供了不同的安装方法，但是基本上都大同小异，本文以SpringBoot为例，springboot又可以打成jar包或者war包，本项目使用jar包部署，演示如何将openRASP集成到SpringBoot项目中。

2.1 下载压缩文件

下载地址：https://github.com/baidu/openrasp/releases

2.2 解压并复制文件

将上面下载的压缩包，解压，将其中的rasp文件复制到jar包的同级目录中
ps：复制文件夹命令：cp -R

image.png

修改rasp目录的权限
命令：chmod 777 -R rasp

2.3 配置启动参数

ps：添加配置参数时，指定了rasp-log4j.xml 文件，这是启动时自动生成的，无需创建。

如果是直接java -jar启动jar包

直接追加启动参数：

java -javaagent:"/weblogic/app/deploy/jcpt/rasp/rasp.jar" -Dlog4j.rasp.configuration="file:///weblogic/app/deploy/jcpt/rasp/conf/rasp-log4j.xml"  -jar jcpt.jar

本项目是jenkins部署，利用shell脚本启动jar包，所以需要修改shell脚本内容，添加启动参数

找到对应的shell脚本位置（本项目shell位置：/weblogic/shell/），编辑脚本，添加配置参数

2.4 重启springboot项目，并验证是否安装openRASP成功

本项目使用jenkins部署，重启项目，需要重新build

image.png

验证是否安装成功有两点：
一：查看rasp的log：/rasp/logs/rasp/下的log文件，如果出现OpenRASP Engine Initialized 字样，就表示安装成功

二：访问web网站，检查响应的 Header 是否包含 X-Protected-By 字样，有就表示安装成功

到此为止，就已经将openRASP集成到了项目中

3.安装管理后台

安装管理后台以后，可以在图形化的界面查看openRASP信息，比如拦截情况等等。

3.1 安装 ElasticSearch 和 MongoDB

管理后台依赖ElasticSearch和MongoDB才可以正常运行。
并且还有版本要求：
MongoDB >= 3.6
ElasticSearch >= 5.6

3.2 下载管理后台

下载地址：https://github.com/baidu/openrasp/releases

解压至任意服务器任意目录（后台管理的服务器和项目运行的服务器能联通）
本例中解压到：机器的/opt/rasp-cloud-2019-01-04/

image.png

3.3 配置并启动管理后台

image.png

启动后台管理：

./rasp-cloud -d

3.4 访问后台管理页面

http://ip:8086
默认的用户名密码是：openrasp/admin@123

默认有一个php示例应用

4 将管理后台和项目连接起来

4.1 在管理后台创建应用

在此添加一个Java应用

4.2 添加主机

获取到这三个数据

4.3 将上述三个数据配置到rasp的配置中

/rasp/conf/下面（是springboot项目的rasp的conf，不是后台管理的conf）

image.png

4.4 重启springboot项目，检测后台管理页面是否可以查看到对应的主机

image.png

到此，后台管理也搭建完成

5. 攻击测试

openRASP是安全框架，在这里就使用sqlmap进行sql注入攻击，来查看openRASP是否有效果，关于sqlmap的使用，可以查看本人另一篇文章，地址是：https://www.jianshu.com/p/3d3656be3c60
但是由于项目中的代码并没有sql可以注入的地方，所以本人故意在项目中添加一个拥有sql漏洞的接口,用于检测openRASP是否可以拦截到

5.1 包含sql漏洞的接口代码

package com.base.web.aisino.web;

import com.alibaba.fastjson.JSONObject;
import com.base.web.common.base.ApiResponse;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;
import org.springframework.web.bind.annotation.*;

import java.sql.*;

/**
 * @author ah.zhanglei3@aisino.com
 * @ClassName
 * @Description 测试OpenRasp
 * @Date 18:42 2019/3/16
 */
@RestController
@RequestMapping("/test")
public class TestOpenRaspWebService {
    private final Logger logger = LoggerFactory.getLogger(TestOpenRaspWebService.class);
    private String resultSetString1;
    private String resultSetString2;
    private String resultSetString3;
    private String resultSetString4;

    @PostMapping("/openrasp")
    public ApiResponse getRecidDateData(@RequestParam("userId") String userId) throws ClassNotFoundException, SQLException {

        logger.info("请求->测试opensasp->输入参数【userId:"+userId+"】");
        //1.注册驱动
        Class.forName("com.mysql.jdbc.Driver");
        //2.获取链接
        Connection connection = DriverManager.getConnection("jdbc:mysql://192.168.202.162:3306/jcpt?useUnicode=true&characterEncoding=utf8", "root", "ybf5mysql");

        //3.创建执行sql语句的对象
        Statement statement = connection.createStatement();

        //4.sql语句
        String sql = "select * from sys_user where user_id= "+userId+";";

        //5.执行sql语句
        ResultSet resultSet = statement.executeQuery(sql);
        //6.对结果集进行处理
        if(resultSet.next()){
            logger.info("取值成功");
            //获取第一列和第二列的值，不是从0开始
            resultSetString1 = resultSet.getString(1);
            resultSetString2 = resultSet.getString(2);
            resultSetString3 = resultSet.getString(3);
            resultSetString4 = resultSet.getString(4);
            logger.info(resultSetString1+"--"+resultSetString2+"--"+resultSetString3+"--"+resultSetString4);
        }else {
            logger.info("取值失败");
        }

        //7.关闭
        if (resultSet != null){
            resultSet.close();
        }
        if (statement != null){
            statement.close();
        }
        if (connection != null){
            connection.close();
        }

        JSONObject jsonObject = new JSONObject(16);
        jsonObject.put("data",resultSetString1+"--"+resultSetString2+"--"+resultSetString3+"--"+resultSetString4);
        logger.info("数据库返回结果->测试opensasp->返回结果参数【result:"+jsonObject+"】");
        return ApiResponse.ofSuccess(jsonObject);
    }
}

5.2 sqlmap攻击本地没有集成openRASP的代码

执行sqlmap：

python2 sqlmap.py -u "http://localhost:9099/test/openrasp?userId=1" --cookie="JSESSIONID=d8f4209e-848b-405c-8986-907c4de6d984" --method=POST

sqlmap顺利的找到了漏洞：

现在尝试利用这个漏洞获取一些数据库的信息

获取数据库名：
python2 sqlmap.py -u "http://localhost:9099/test/openrasp?userId=1" --cookie="JSESSIONID=d8f4209e-848b-405c-8986-907c4de6d984" --method=POST --dbs

获取数据库的表名：
python2 sqlmap.py -u "http://localhost:9099/test/openrasp?userId=1" --cookie="JSESSIONID=d8f4209e-848b-405c-8986-907c4de6d984" --method=POST -D jcpt --tables

image.png

获取数据库jcpt的sys_user表的列名：
python2 sqlmap.py -u "http://localhost:9099/test/openrasp?userId=1" --cookie="JSESSIONID=d8f4209e-848b-405c-8986-907c4de6d984" --method=POST -D jcpt -T sys_user --columns

可以看到,sqlmap可以通过注入拿到一些数据库的信息

5.3 sqlmap攻击集成了openRASP的代码

执行sqlmap：

python2 sqlmap.py -u "ip:9099/test/openrasp?userId=1" --cookie="JSESSIONID=95571903-b864-4ef7-8c22-d52fe3203e8a" --method=POST

这时sqlmap就找不到注入点了：

同时查看网站日志，可以看到，sqlmap的攻击行为都被openRASP拦截了

最后查看openRASP后台管理页面
可以看到，openRASP的拦截记录

image.png

6. 总结

openRASP的简单使用就是这样，它还有更多的功能，比如大规模部署，SIEM系统集成等。
同时我们还可以对openRASP进行插件开发，二次开发等，定制openRASP的功能。