OpenRASPv0.23 发布 | 性能提升与SSRF检测

阅读量    71650 |

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

原文链接:https://rasp.baidu.com

OpenRASP 是百度安全推出的一款开源、免费的自适应安全产品。目前与国际知名非盈利安全组织 OWASP(Open Web ApplicationSecurity Project)达成深度合作,现已加入到OWASP全球技术项目中,将在全球范围内进行大规模推广。

OpenRASP将新兴的RASP(Runtime Application Self-Protection)安全防护技术普及化,使其迅速成为企业Web安全防护中的一个重要武器,有效增强防御体系纵深和对漏洞防护的适应能力。

据上一个版本发布相隔约1个月,百度安全实验室此次发布为OpenRASP v0.23版本。

 

性能优化

首先,SQLi检测逻辑改为原生Java实现,并通过插件进行配置。我们测试了一些重SQL业务,这个业务平均每个请求发起15次SQL查询。优化后,该业务性能损耗由6%下降到3.8%。

其次,将基于反射的检查,移动到了command hook点。我们的天使客户在测试过程中,发现某些业务会有大量的反射调用,影响性能。优化后,该业务性能损耗由10%下降到5.4%。

最后,我们预编译JS代码,启动时间由原先的8s下降到3s左右。

我们的性能测试报告已经更新,请查看 “1.7 性能测试” 文档。如果在测试过程中,你发现性能损耗超过5%,请根据性能调试文档,采集调试数据并联系我们。我们会在第一时间进行分析,并尽快解决问题。

 

新增功能

首先,该版本加入了SSRF检测。可检查基于URL.openConnection、commons-httpclient、httpclient三种方式发起的请求。具体覆盖的场景如下:

  • 访问内网资源
  • 10.10.10.10.xip.io等已知内网指向域名
  • 尝试访问 aws metadata
  • http://169.254.169.254/latest/meta-data/
  • 尝试访问已知的回显服务
  • burpcollaborator.net
  • requestb.in
  • 尝试访问混淆的内网地址
  • http://0x7f001
  • http://0x7f.0x0.0x0.0x1
  • 访问保留地址
  • http://0/

若要更详细的了解OpenRASP的检测能力和覆盖场景,请查看 “1.4 功能说明 – 检测能力说明”。

其次,该版本开始支持配置文件的动态更新。除了 hooks.ignore 外,其他的配置选项修改后立即生效,不再需要重启应用服务器。

最后,这个版本开始支持HTML动态注入,允许你在响应类型为text/html的页面上,注入一段HTML代码。通过这个功能,可以检测CSRF、后台盲打等等,相关算法下个版本放出。

 

OpenRASP 最佳实践

值得一提的是,我们的电子书 OpenRASP Internals 第一版正式发布。

在这本电子书里,我们介绍了RASP技术原理、OpenRASP 技术优势、企业级定制等内容,还根据QQ群半年多的反馈,整理了最佳部署实践。

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多