百度开源项目OpenRASP快速上手指南
字数 1415 2025-08-18 11:37:53

OpenRASP 快速上手指南

一、OpenRASP 简介

OpenRASP（Runtime Application Self-Protection）是百度开源的一款运行时应用自我保护工具，与传统WAF（Web应用防火墙）相比有以下特点：

与WAF的区别

  • WAF：工作在应用层外围，基于规则匹配检测攻击
  • RASP：工作在应用运行时环境，直接监控应用行为

优势

  1. 几乎没有误报情况
  2. 可以发现更多攻击
  3. 可以对抗未知漏洞

二、功能特性

  1. Web 2.0攻击检测：OWASP Top 10漏洞的检查与拦截
  2. 日志输出：记录攻击行为和安全事件
  3. 服务器安全基线检查
  4. 应用加固

三、安装与配置

环境要求

  • 操作系统：Debian 9（示例）
  • PHP版本：7.0.27
  • Nginx版本：1.10.2
  • OpenRASP版本：1.0 rc版

安装步骤

  1. 获取安装参数（管理后台添加主机后获取）：

    • app_id
    • app_secret
    • backend_url

  2. 执行安装命令：

php install.php -d /opt/rasp --backend-url http://myserver:port --app-secret XXX --app-id XXXX
  1. 验证安装：
    • 在phpinfo()中查看OpenRASP模块信息
    • 检查HTTP响应头中是否包含OpenRASP标识

四、漏洞拦截能力

漏洞类型 拦截能力
SQL注入漏洞 能
XSS跨站漏洞 不能
文件上传漏洞 能
SSRF漏洞 能
XXE漏洞 不能
远程命令执行 能
远程代码执行 不能
Java反序列化漏洞 能
LFI本地文件包含 能

五、管理后台安装

先决条件

  • MongoDB >= 3.6
  • ElasticSearch > 5.6

安装步骤

  1. 下载管理后台：
https://github.com/baidu/openrasp/releases/download/v1.0.0-RC1/rasp-cloud.tar.gz

  1. 解压并配置：
    参考官方文档：https://rasp.baidu.com/doc/install/panel.html

  2. 访问后台：
    通过浏览器访问配置好的后台地址

部署建议

  • 将管理后台部署在内网服务器（推荐CentOS 6）
  • 可集中管理多台Web服务器的OpenRASP日志

六、常见问题

问题1：RCE远程代码执行拦截不全

  • 能拦截：system('whoami')
  • 不能拦截：echo php_uname();

结论：OpenRASP拦截远程命令执行漏洞，但不拦截远程代码执行漏洞

问题2：XXE漏洞未被拦截

测试发现XXE攻击未被OpenRASP拦截

七、使用建议

  1. 适用场景：中小企业OWASP Top 10防御
  2. 优势：
    • 免费开源
    • 支持二次开发
    • 支持内网大规模部署
    • 提供集中日志管理
  3. 不足：部分漏洞拦截能力有待提高

八、扩展资源

  1. 官方文档：https://rasp.baidu.com/doc/
  2. GitHub仓库：https://github.com/baidu/openrasp
  3. 管理后台下载：https://github.com/baidu/openrasp/releases

通过以上步骤，您可以在1小时内完成OpenRASP的安装和基本配置，为Web应用提供运行时保护。

OpenRASP 快速上手指南 一、OpenRASP 简介 OpenRASP（Runtime Application Self-Protection）是百度开源的一款运行时应用自我保护工具，与传统WAF（Web应用防火墙）相比有以下特点： 与WAF的区别 WAF ：工作在应用层外围，基于规则匹配检测攻击 RASP ：工作在应用运行时环境，直接监控应用行为 优势 几乎没有误报情况 可以发现更多攻击 可以对抗未知漏洞 二、功能特性 Web 2.0攻击检测 ：OWASP Top 10漏洞的检查与拦截 日志输出 ：记录攻击行为和安全事件 服务器安全基线检查 应用加固 三、安装与配置 环境要求 操作系统：Debian 9（示例） PHP版本：7.0.27 Nginx版本：1.10.2 OpenRASP版本：1.0 rc版 安装步骤 获取安装参数（管理后台添加主机后获取）： app_ id app_ secret backend_ url 执行安装命令： 验证安装： 在phpinfo()中查看OpenRASP模块信息 检查HTTP响应头中是否包含OpenRASP标识 四、漏洞拦截能力 | 漏洞类型 | 拦截能力 | |--------------------|----------| | SQL注入漏洞 | 能 | | XSS跨站漏洞 | 不能 | | 文件上传漏洞 | 能 | | SSRF漏洞 | 能 | | XXE漏洞 | 不能 | | 远程命令执行 | 能 | | 远程代码执行 | 不能 | | Java反序列化漏洞 | 能 | | LFI本地文件包含 | 能 | 五、管理后台安装 先决条件 MongoDB >= 3.6 ElasticSearch > 5.6 安装步骤 下载管理后台： 解压并配置： 参考官方文档：https://rasp.baidu.com/doc/install/panel.html 访问后台： 通过浏览器访问配置好的后台地址 部署建议 将管理后台部署在内网服务器（推荐CentOS 6） 可集中管理多台Web服务器的OpenRASP日志 六、常见问题 问题1：RCE远程代码执行拦截不全 能拦截： system('whoami') 不能拦截： echo php_uname(); 结论：OpenRASP拦截远程命令执行漏洞，但不拦截远程代码执行漏洞 问题2：XXE漏洞未被拦截 测试发现XXE攻击未被OpenRASP拦截 七、使用建议 适用场景 ：中小企业OWASP Top 10防御 优势 ： 免费开源 支持二次开发 支持内网大规模部署 提供集中日志管理 不足 ：部分漏洞拦截能力有待提高 八、扩展资源 官方文档：https://rasp.baidu.com/doc/ GitHub仓库：https://github.com/baidu/openrasp 管理后台下载：https://github.com/baidu/openrasp/releases 通过以上步骤，您可以在1小时内完成OpenRASP的安装和基本配置，为Web应用提供运行时保护。