全网连夜修复的Log4j漏洞，如何做

• 2.可以防护0Day级别的漏洞攻击。

同时也并不是完全没有缺点，主要的问题就是可能带来一定的性能损耗。还有就是开发难度比较高，需要对 JVM 字节码、ASM 工具、漏洞触发原理以及各类Java 应用容器都有所了解。

RASP技术目前已经非常成熟，在PHP、Java、.NET等多种语言中都有实现方案。

实现原理

不同于基于流量特征的检测，RASP 主要关注应用自身的行为，而非流量本身。

当 RASP 发现一个应用，做了它不应该做的事情时，大概率意味着当前应用已经被攻击者利用漏洞攻陷并做了一些高危操作。

以这次 Log4j的漏洞来看，RASP 并不关注请求中的流量是否包含了恶意的 payload，而是去关注 Log4j2 究竟使用 JNDI 功能去做了什么。如果进行正常的 JNDI 查询，就没有问题；但如果企图使用 JNDI 功能进行命令执行，就是一个显而易见的危险行为。

RASP 要将自己注入到被保护的应用中，基本思路类似于 Java 中的 AOP 技术，将 RASP 的Hook代码注入到需要进行检测的地方，根据上下文和关键函数的参数等信息判断请求是否为恶意请求，并终止或继续执行。

想要实现RASP，在 Java中逃不开 Agent 技术，Agent是一个运行在目标JVM的特定程序，它的职责是负责从目标JVM中获取数据，然后将数据传递给外部进程。

在Java SE 5之前，要实现一个Agent只能通过编写Native代码来实现。从Java SE 5开始，可以使用Java的Instrumentation接口（java.lang.instrument）来编写Agent。

使⽤ Instrumentation，开发者可以构建⼀个独⽴于应⽤程序的代理程序（Agent），⽤来监测和协助运⾏在 JVM 上的程序，甚⾄能够替换和修改某些类的定义。



Java Agent支持目标JVM启动时加载，也支持在目标JVM运行时加载，这两种不同的加载模式会使用不同的入口函数，如果需要在目标JVM启动的同时加载Agent，那么可以选择实现下面的方法：

public static void premain(String agentArgs, Instrumentation