洞态IAST实现思路分享及讨论

最新推荐文章于 2024-02-27 14:47:07 发布
最新推荐文章于 2024-02-27 14:47:07 发布
阅读量1.3k 收藏 1
点赞数 1
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_40418457/article/details/117263895
版权
本文详细解答了洞态IAST的使用、应用识别和SCA实现原理。针对Java Agent的使用，解释了在debug模式下如何加载本地检测引擎。对于应用识别，介绍了手动配置应用名称的方法。SCA实现涉及组件信息收集、与Maven库匹配及漏洞库对接。
摘要由CSDN通过智能技术生成

素十八师傅之前对洞态IAST的源码进行了一波深入分析，吐槽了一些地方，首先感谢师傅的精心研究及Diss，其中存在的问题已经基本解决，遗留的问题也在解决中，本文将对分析文章中存在的误解及疑问进行解答。

感谢素十八师傅对洞态IAST代码的分析，文章地址：[> 洞态IAST源码分析及Diss][0]

根据师傅的分析以及提出的疑问，将逐部分进行解答。本文将回答下面3个问题：

  • 洞态IAST开源的java agent应该如何使用？
  • 检测引擎如何区分应用？
  • SCA实现原理
一、如何编译并使用本地Java Agent

通过调试发现自己编译 core 和 inject 没用，他的 agent 无论如何还是会从官网上自己下载这两个 jar 包并放到 temp 目录下，不知道是故意的还是写出来的 bug，因为如果从官网上下载，也只是下载 agent，在运行时动态下载 core 和 inject，应该是最开始打算试用，没打算开源？？ -- 作者：素十八

洞态IAST - Java探针分析

洞态IAST的agent部分由agent.jar、iast-core.jar和iast-inject.jar三部分组成。其中：

  • agent.jar用于存放配置、定期拉取云端信息、下载并加载核心检测引擎iast-core.jar和iast-inject.jar
  • iast-inject.jar用于注入至BootStrap ClassLoader&#x
最低0.47元/天 解锁文章
火线安全
关注
web渗透--68--洞态IAST部署及使用
武天旭的博客
01-21 2720
前不久【洞态IAST】正式开源，喜大普奔，此前使用百度开源的OpenRASP-IAST，效果其实很差，可能是平台的问题，也可能是开发写的程序本来就安全，最终一个漏洞都没产出，只能靠二次开发的一些辅助功能充面，想来开发应该不会那么牛逼的，那就是平台的问题了。 百度的OpenRASP-IAST除了不产出漏洞外，使用体验也是一个硬伤，这个就不多说了，可能是IAST只是一个附加产物，毕竟人家第一称谓是RASP。
洞态IAST的部署及使用（以Tomcat为例）
weixin_45260839的博客
07-14 1630
洞态IAST的部署及使用（以Tomcat为例）
洞态IAST源码分析及吐槽
weixin_40418457的博客
05-21 920
0x01 前情提要 北京时间11点42分，正准备划 20 分钟水去吃午饭，园长突然跟我说过火线的 IAST 突然开源了，原名灵芝IAST更名为洞态IAST，真是OMG。 IAST 也是同样使用 agent 技术。同样一种技术，在不同人的手里用法也不同，同一种思路在不同人手里的实现方式也可能存在差异。那么既然他开源了，那就来看一看学习一下他的思路和实现，也顺便测试一下产品，取其精华。 能有这样的产品开源供广大安全从业者测试和学习真的是一件非常好的事，真的是要撒花庆祝，感谢老板。由于明确项目定位是 IAST 产
DongTai-agent-java:“火线〜洞态IAST”是成套专为甲方安全人员，代码审计工程师和0挖掘0天
04-01
洞态IAST 原“灵芝IAST”，后更称为“洞态IAST”，产品更改为SaaS版，代理端收集与污点相关的数据并发送到服务器端，服务器端接收数据并重组成污点方法图，再根据深度优先算法搜索污点调用链 项目介绍 “火线〜洞态IAST”是成套专为甲方安全人员，甲乙代码审计工程师和0自动化挖掘0天。 “火线〜洞态IAST”具有五大模块，分别是dongtai-webapi dongtai-openapi ， dongtai-webapi dongtai-openapi ， dongtai-openapi dongtai-engine ， dongtai-web ， agent ，其中： dongtai-webapi用于与dongtai-webapi dongtai-web交互，负责用户相关的API请求； dongtai-openapi用于与agent交互，处理agent上报的数据，向agent下
浅谈被动式IAST产品与技术实现
Moyun_vackbot的博客
01-07 9483
笔者曾参与RASP研究与研发得到一些相关经验，近两年观察到IAST发展势头明显，但目前国内外对于IAST具体实现的细节相关文章较少，且笔者看到的开源IAST仅有洞态，故想通过笔者视角，对IAST的原理及技术实现进行探究及分享。 本文仅代表笔者个人观点，欢迎大家进行技术交流及学习。 什么是IAST IAST是AST其中的一个类别，AST是Application Security Testing的简称，译为应用安全测试，在其之下衍生出来以下几种类型: SAST（Static Applicatio.
洞态IAST Python-agent 内测版 测试
weixin_40418457的博客
08-12 453
一、背景 洞态 IAST 首发 Python-agent 尝鲜，验证 Agent 针对路径穿越漏洞的检测能力。 洞态 IAST 的检测方式是扫描运行中的应用程序，将扫描到的漏洞信息发送到云端进行检测处理。 二、验证方式 本次验证选择在本地启动python靶场，安装dongtai-iast Python探针，请求靶场Api，做漏洞检测。 三、本地环境搭建 克隆 python 靶场 源码 $ git clone https://github.com/jinghao1/python_range_demo 注：
洞态 IAST v1.1.4 新版本来袭，DevSecOps 更进一步
weixin_40418457的博客
12-22 2974
导语 洞态 IAST 自开源发布以来，一直保持着双周更新一版的节奏不断迭代。项目开启之初，社区小伙伴们参与的积极性很高，为洞态提出了许多建设性意见，也贡献了很多代码，很感谢洞态伙伴们的付出。 DongTai 特发布双周报，希望可以帮助社区的小伙伴们更好地掌握 DongTai 社区的进展，方便大家参与到 DongTai 社区中来。 双周报主要是整理展示新增的社区贡献者（包括 Contributor 和 Committer），并对新版本的功能进行解析。 ​ 近期功能亮点 1.洞态 IAST 增加漏洞修复与代码
洞态IAST Agent正式开源
weixin_40418457的博客
04-02 5229
一、洞态IAST 洞态IAST是一款被动式的交互式安全测试工具，具有漏洞检出率高、误报率低、无脏数据、支持数据包加密/一次性签名/验证码等不支持重放的场景下的漏洞检测、支持微服务/API网关/分布式应用等应用架构下的漏洞检测、支持对移动APP的后端服务器进行漏洞检测等优点。此外，洞态IAST支持在不发送数据包的前提下对历史数据中未出现漏洞的API进行的重复检测，最大可能的检测出漏洞。 1.洞态IAST的原理介绍 IAST的核心技术点有三个： 值传递算法 污点链路梳理 Hook策略 其中，值传递算法
洞态IAST自动检测S2-007漏洞
weixin_40418457的博客
04-30 890
1. 启动在线靶场 登陆 在线靶场，启动S2-007环境，等待环境启动之后，点击访问靶场按钮即可前往靶场环境。该环境来源于vulhub和vulapps 2. 查看检测结果 登陆洞态IAST官方网站，查看漏洞检测结果 3. 进入搜索功能，分析完整的污点调用图 3.1 Source点 首先，在org.apache.struts2.dispatcher.Dispatcher.DefaultActionMapper#createContextMap()方法中，调用Servlet接口的getParameterM
洞态IAST自动检测S2-048
weixin_40418457的博客
06-04 325
一、复现环境搭建 访问火线-靶场并搜索S2-048,然后启动registry.cn-beijing.aliyuncs.com/huoxian/s_struts2_s2-059:latest 环境启动后，默认页面。 二、漏洞复现 POST /showcase/integration/saveGangster.action HTTP/1.1 Host: localhost:8080 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:88.0)
unix中last命令的实现
08-22
unix中last命令的实现unix中last命令的实现unix中last命令的实现unix中last命令的实现unix中last命令的实现
IAST交互式应该用程序安全测试技术分享
11-28
开发阶段为引入漏洞最关键的阶段，超过50%的安全漏洞由错误的编码产生。究其原因是因为 开发人员对所使用的语言与技术的安全特性不了解，写出的代码符合功能上的需求，但缺乏安全 上的考虑
洞态IAST v1.1.3 版本正式发布，敏感信息检测能力大增
weixin_40418457的博客
12-08 418
洞态自发布以来，版本一直保持着两周一次的迭代速度。本周，我们很高兴向大家介绍洞态 v1.1.3 版本。此版本重在增强敏感信息检测能力与提升用户的使用体验，本次版本重点更新内容如下： 增强敏感信息检测能力 新增策略模版管理功能 新增“关于洞态”页面 新增Agent主动验证的关闭功能 优化项目配置 优化组件管理功能 01 增强敏感信息检测能力 支持 HTTP 请求中请求参数 请求体和响应体的检测 使用场景 根据《个人金融信息保护技术规范》要求，C3 以上级别的数据，在进行传输时，需要进行加密处理，包括手
洞态IAST落地实践
phantoms007的博客
06-17 1744
刚开始，笔者测试百度OpenRASP的IAST功能（主动式IAST），OpenRASP的IAST通过对agent采集到的流量数据进行重放，根据hook点信息做选择性的扫描；与主动式漏扫相比，这种方式减少了很多请求，但是也会存在少量的脏数据，对测试不是很友好；OpenRASP的扫描器支持配置URL白名单，笔者通过对eidt、add、logout等接口加白，基本上解决了脏数据的问题，但是出现了很多漏报，而且基于重放HTTP请求的检测方式，对存在签名、防重放之类，无法进行HTTP请求重放的接口来说，...
安全左移|洞态IAST构建高效DevSecOps流程
weixin_40418457的博客
09-29 653
9月25日，由CNCF大使、开源意见领袖共同发起的，国内最大的独立第三方云原生终端用户和泛开发者社区——云原生社区，在腾讯大厦成功举办深圳站首届MeetUp。 本届MeetUp聚焦云原生，火线安全洞态产品负责人董志勇分享了“使用IAST构建高效的DevSecOps流程”，从IAST的时代需要到IAST含义，从洞态IAST的功能与实现原理到洞态IAST与DevOps的高效融合均做了详细介绍。 01 IAST的时代需要 #安全测试是应用开发的必要环节 自2016年以来，随着《中华人民共和国网络安全法》、《中华
洞态IAST自动检测S2-001漏洞
weixin_40418457的博客
04-30 299
一、使用Dongtai-IAST检测S2-001漏洞 1. 启动在线靶场 登陆在线靶场：http://labs.iast.huoxian.cn:8081，启动`S2-001`环境，等待环境启动之后，点击**访问靶场**按钮即可前往靶场环境。该环境来源于`vulhub`和`vulapps` 2. 登陆**洞态IAST**网站：http://iast.huoxian.cn:8000/，查看漏洞检测结果 3. 进入搜索功能，分析完整的污点调用图 3.1 Source点 首先，在org.apache.strut
安全左移利器——洞态iast调研（待完成）
最新发布
m0_60200366的博客
02-27 1170
但这样还会有一个问题，我们修改后的正常代码，需要调用core包中的方法，而core包是自定义类加载器加载的，正常代码的类一般是应用类加载器加载的，所以正常代码这时候无法调用core中的方法。首先访问类的信息（visit），传入的是类文件的版本（version，从V1_1到V16）、访问标志（access），类的全限定名（name），泛型签名（signature，可能为空），父类全限定名（无指定为java/lang/Object），实现接口列表（全限定名，可为空）
一篇文章了解DongTai IAST
lym003的博客
05-11 963
洞态 IAST 是一个完全开源的 IAST 项目，它使用应用程序运行时数据流进行分析从而识别可被利用的安全漏洞，再按风险优先级的提供已验证漏洞列表功能，协助开发人员实时的代码修复。主要功能：全面精准的应用漏洞测试、开源组件漏洞和风险分析、应用漏洞自动化验证与溯源、全面详细的漏洞分析和定位、检测能力自定义。
IAST 实践利用洞态做开源组件的安全治理
weixin_40418457的博客
02-11 571
背景 某大型集团在使用洞态一段时间后，发现其配套使用的组件管理的漏洞知识库内容存在滞后性和部分不准确性。倘若将这些内容引入到工单系统中作为安全组件整改任务，那么提供给开发部门的漏洞描述、漏洞危害和修复建议便会显得没有说服力。因此需要寻找实时、有效且免费的安全漏洞知识库的信息来源。 解决方案 目前业内开源组件的安全知识库的来源，主要有两种： 人工维护的商用漏洞数据库 NVD 免费漏洞数据库 由于使用洞态提供的组件信息，最好还是集成免费信息来源。由于 dependency check 工具是通过调用 NVD
洞态IAST内网私有化部署详细方案
05-29
以下是洞态IAST内网私有化部署的详细方案： 1. 确认服务器环境 首先需要确认部署洞态IAST的服务器环境是否符合洞态IAST的要求。具体要求可以参考洞态IAST官方文档。需要注意的是，服务器环境需要满足以下要求： - 操作系统：CentOS 7.2及以上版本，或者Ubuntu 16.04及以上版本。 - 内存：至少8GB。 - 硬盘：至少100GB，建议使用SSD硬盘。 - CPU：建议使用4核及以上的CPU。 2. 下载离线包 在确认服务器环境符合要求之后，需要下载洞态IAST的离线包。可以在洞态IAST官方网站上下载，或者联系洞态IAST的销售团队获取。 需要注意的是，离线包的大小较大，下载可能需要一定的时间和带宽。 3. 安装数据库 洞态IAST需要使用数据库来存储扫描结果等信息，因此需要先安装数据库。可以选择使用MySQL或者PostgreSQL等关系型数据库。 安装过程可以参考数据库官方文档。 4. 安装洞态IAST 在安装洞态IAST之前，需要确认服务器已经安装了Java环境。可以通过以下命令检查： ```bash java -version ``` 如果没有安装Java环境，则需要先安装Java环境。 在安装洞态IAST之前，需要在服务器上创建一个新的非root用户，并授权该用户访问数据库。 然后将下载的离线包上传到服务器，并解压缩到指定目录。进入解压缩后的目录，执行以下命令： ```bash ./install.sh ``` 接着按照提示进行安装，需要输入数据库连接信息、管理员账号密码、安装路径等信息。 安装完成后，可以使用以下命令启动洞态IAST： ```bash systemctl start iast.service ``` 5. 配置代理 如果部署在内网环境中，可能需要配置代理才能让洞态IAST访问外网。可以在洞态IAST的安装目录下的`iast.properties`文件中进行配置，将代理地址和端口号填入即可。 需要注意的是，如果代理需要进行身份验证，则需要在配置文件中同时填入用户名和密码。 6. 配置扫描信息 在进行应用程序扫描之前，需要配置扫描信息。可以通过洞态IAST的Web界面进行配置。 登录洞态IAST的Web界面，进入“扫描管理”页面，点击“新建扫描任务”，填写扫描任务的相关信息。需要注意的是，需要填写正确的应用程序地址和端口号，才能保证扫描结果的准确性。 7. 进行应用程序扫描 在配置好扫描信息之后，就可以进行应用程序扫描了。可以在洞态IAST的Web界面中查看扫描结果。 需要注意的是，扫描过程可能会占用较多的服务器资源，因此建议在空闲时间进行扫描，并根据具体情况进行资源调整。 以上就是洞态IAST内网私有化部署的详细方案，希望能对您有所帮助。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值