首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往
您找到你想要的搜索结果了吗?
是的
没有找到

web安全防御之RASP技术

1.一个Web应用开发到上线的过程大致须要经过如下步骤:需求分析、架构设计、系统设计、功能设计、编码实现、测试评估、上线部署、业务运营等关键步骤,其中功能设计、编码测试、发布部署、系统运营这几个环节中都会存在安全风险,但是针对各环节出现的安全风险目前还没有一个比较全面的防御产品。目前主流的Web应用安全防护产品方案较多的是 WAF(Web Application Firewall)和RASP(Runtime Application Self-Protection),WAF是门卫模型,通常部署在Web应用系统的外部边界,所有正常或恶意流量都需要通过特征规则和模式识别,通过特定的规则和模式识别出恶意请求,并且把它们拒之门外,拒绝向高风险的Web请求提供服务。

03

说说编译插桩

说到这里,有必要说一下Java字节码和Dalvik 字节码 java字节码可以参考这篇文章作为了解一文让你明白Java字节码,里面演示了如何将字节码反过来解析出对应的class文件。我自己也按照他的方法解析了一次class文件字节码解析 Dalvik 字节码可以看这篇dex文件字节码解析这篇文章开头还有对应的参考链接,本人按照这两个链接做的 总的来说,dex文件比class文件要复杂得多.一方面是小端排列,另一方面需要寻址.最重要的一点是,class文件的类索引里面所有的信息都是直接排进去的,但是dex文件里面的类都是存的索引,dex文件更为紧凑.也就是意味着,如果需要修改dex文件,那么他的成本会比修改class文件难得多

02

1.1 ASM-简介-目的

上面所述的技术可以应用于任何编程语言,只不过在实现上的难易程度取决于编程语言。 对于Java在这种情况下,可以在源码或者字节码中应用。 如果在字节码中应用,显而易见的一个优点是,你不需要源文件。 因此可以在任何应用中都可以使用代码转换,包括闭源代码和商业代码。 另一个好处是,你可以对编译后的字节码做分析、生成新的字节码或者转换字节码, 只需要它们在Java虚拟机(在运行时生成和编译源代码是可以的,但是非常耗时,而且需要一个完成的Java编译环境支持)载入代码之前完成即可。 还有一个好处是工具包,例如stub编译器或者切面植入器,对用户来说是透明的。 由于程序分析、代码生成和代码转换有很多种技术可以实现,所以有很多相应的工具也被发明了出来。 ASM[1]就是一款针对Java的工具,它被设计成可以在运行时使用,同样也可以在离线状态下使用,对class进行生成和转换。 ASM库对编译后的class进行工作,它设计的速度快、内存消耗小。 速度越快越重要,在动态代理class的生成和class的转换时,尽可能确保运行中的应用不会被ASM拖慢, 同时内存消耗越小越好,避免因为环境限制,对本身消耗内存就小的应用来说,产生内存膨胀。 ASM不是唯一针对Java字节码生成和转换的工具库,但是它是全新且效率最高的。 可以在http://asm.objectweb.org中下载依赖库。

02
领券