震惊！百度安全这一利器让RASP漏洞检测效率提升1000%

重点导读概述

使用该测试环境前，请务必确保所有操作均在合法授权的测试环境中进行。未经授权对任何系统进行安全测试可能违反相关法律法规。

OpenRASP Cloud 自动化测试环境是一套基于 Docker Compose 构建的集成化测试平台，专注于 RASP（Runtime Application Self-Protection）技术验证。该环境覆盖 PHP、Java 两大主流语言版本，支持 Apache、Nginx、Tomcat 等多种 Web 服务器，通过模拟真实攻击场景验证 RASP 防护效能。

重点导读技术架构

PART 01容器服务

测试环境包含以下核心容器：

PART 02测试覆盖

PHP Agent

• PHP5.3/5.4/5.5/5.6/7.0/7.1/7.2/7.3 版本兼容
• ZTS 与 non-ZTS 模式支持
• SAPI 覆盖：cli-server、fpm-cgi、apache2handler、cgi
• HOOK 点覆盖：命令执行、文件操作、SQL 注入、XSS、SSRF、目录遍历、文件包含、Webshell 检测
• 基线检测：数据库连接配置、PHP ini 安全配置

Java Agent

• Tomcat 8 运行环境
• HOOK 点验证
• 云端插件更新测试

云端交互

• 插件注册与更新
• 配置下发验证
• 日志推送确认

重点导读测试流程

PART 03环境启动

bashdocker-compose up 

PART 04进入测试容器

bashdocker-compose exec tester /bin/bash 

PART 05初始化测试环境

bashcd /root/test-script/ python init.py 

PART 06执行测试

bashpython unit_test.py 

重点导读测试用例设计

PART 07通用配置项

测试用例覆盖 OpenRASP 全部配置参数：

• plugin.timeout.millis
• plugin.maxstack
• log.maxburst、log.maxstack、log.maxbackup
• syslog 相关配置
• block 拦截响应配置
• inject.urlprefix
• body.maxbytes
• lru.max_size
• hook.white
• xss.filter_regex、xss.min_param_length、xss.max_detection_num

PART 08攻击场景模拟

测试脚本模拟以下攻击类型：

• SQL 注入
• SSRF
• XSS
• 命令执行
• 文件操作
• Webshell 调用

PART 09已知问题

LRU 机制会影响部分测试结果。sql 类和 ssrf 类检测使用 LRU 缓存，可能导致插件更新测试结果出现偏差，不宜选作测试用例。

重点导读项目地址

本公众号非项目作者，仅做技术分享。

本文介绍的项目开源地址如下：

https://github.com/baidu-security/openrasp-test-env