震惊！百度安全开源这一引擎，让应用运行时攻击检测进入新时代

免责声明：本文仅做技术研究之用，请勿将其用于任何未经授权的渗透测试或安全评估。进行安全测试前，请确保已获得明确书面授权，严格遵守适用法律法规。

重点导读概述

openrasp-v8 是百度安全实验室开源的运行时应用自防护（RASP）核心引擎项目。该项目以 Google V8 JavaScript 引擎为运行时基础，封装了一套跨语言的统一攻击检测框架。目前已实现 PHP、Java、Go 三种主流语言的无缝接入。

区别于传统 WAF 基于请求特征的静态匹配方案，openrasp-v8 将检测逻辑下沉至应用内部，在运行时上下文层面实现对攻击行为的精准识别，理论上可覆盖所有注入类攻击向量。

重点导读架构

PART 01整体结构

项目由核心层与语言桥接层组成。核心层（base 目录）承载 V8 引擎封装、JavaScript 插件运行时、词法分析器及 HTTP 请求处理模块。语言桥接层分别位于 php、java、go 目录，各自通过原生接口与核心层交互。

PART 02V8 引擎封装

isolate.cc 负责 V8 Isolate 的创建与生命周期管理。每个 V8 实例拥有独立的堆内存与垃圾回收上下文，确保多语言环境下的隔离性与稳定性。

snapshot.cc 实现引擎快照压缩技术，通过预创建上下文快照，大幅缩短首次初始化时间，避免每次启动时重复编译基础脚本。

PART 03插件运行时

rasp.js 以 JavaScript class 形式定义了 RASP 全局对象，是插件与引擎交互的核心入口。插件通过 register 方法在指定检测点（checkPoint）注册检测函数，引擎在请求生命周期对应节点自动触发回调。check 方法负责汇聚所有插件的检测结果，统一返回结构化告警信息。

PART 04词法分析器

flex 目录下的 Flex 词法分析器封装了 SQL 与命令行字符串的分词能力。RASP.sql_tokenize 与 RASP.cmd_tokenize 两个静态方法分别对应 SQL 语句与 Bash 命令的 token 化。检测插件可借此还原原始语句结构，识别被拼凑或编码混淆的恶意输入。

PART 05HTTP 请求处理

request.cc 基于 libcurl 的 C++ 封装（cpr 库）实现 HTTP 请求能力。RASP.request 与 RASP.request_async 提供类 axios 的 promise 风格接口，插件可在检测过程中发起外部查询（如威胁情报比对）而无需跳出 JavaScript 上下文。

PART 06平台适配

vendors 目录预置了多平台第三方依赖的构建产物，覆盖 Linux x64/x86/musl、macOS x64、Windows x64/x86。静态链接策略确保产物在目标系统上无需额外运行时依赖，centos6 sysroot 工具链支持使二进制可兼容老版本 glibc。

重点导读语言桥接

PART 07Java

java 目录通过 JNI（Java Native Interface）暴露 V8 引擎接口。com_baidu_openrasp_v8_*.cc 文件群实现从 Java 到 native 的桥接逻辑，pool.cc 提供引擎实例池化管理，降低 JNI 调用频繁创建销毁的开销。

PART 08Go

go 目录使用 cgo 构建 C++ 桥接层，v8.go 定义纯 Go 接口，underlying-buffer.go 处理 Go 内存与 C 内存之间的安全拷贝，bridge.cc 实现底层调用绑定。

PART 09PHP

php 目录提供 PHP 扩展形式的桥接能力，通过 pkg-config 配置文件（openrasp-v8.pc.in）接入 PHP 运行时。

重点导读构建系统

CMake 作为统一构建工具链。根目录 CMakeLists.txt 定义 ENABLE_LANGUAGES、BUILD_TESTING、BUILD_COVERAGE 三个关键变量，分别控制启用语言、是否编译测试、是否开启覆盖率报告。预编译依赖由 prebuilts 与 vendors 两个子目录管理。

重点导读应用场景

openrasp-v8 作为 RASP 检测引擎，可嵌入 Web 应用服务器，在请求处理链路的关键节点（如 SQL 执行、命令调用、文件读写）插入 JavaScript 插件检测逻辑。检测插件基于运行时上下文信息（参数、变量状态、执行栈）判定是否为攻击行为，相比 WAF 的 Header/Body 层面匹配具有更高的检测准确率与更低的误报率。

本文介绍的项目开源地址如下：

https://github.com/baidu-security/openrasp-v8 

本公众号非项目作者，仅做技术分享。