RASP（运行时应用自我保护）#

public class SqlInjectionHook {
    
    // Hook JDBC 的 executeQuery 方法
    @Hook(pointcut = "java.sql.Statement.executeQuery(java.lang.String)")
    public static void beforeExecuteQuery(HookContext ctx) {
        // 获取即将执行的 SQL
        String sql = ctx.getArgument(0);
        
        // 获取请求上下文
        HttpServletRequest request = ctx.getHttpRequest();
        String userInput = extractUserInput(sql);
        
        // 检测 SQL 注入
        if (containsSqlInjection(userInput)) {
            // 阻断请求
            ctx.block("SQL 注入攻击被阻断");
            ctx.getLogger().warn("SQL 注入检测: SQL={}, URI={}", 
                sql, request.getRequestURI());
        }
    }
    
    // Hook System.exec 方法
    @Hook(pointcut = "java.lang.Runtime.exec(java.lang.String)")
    public static void beforeExec(HookContext ctx) {
        String command = ctx.getArgument(0);
        
        // 检测命令注入
        if (containsCommandInjection(command)) {
            ctx.block("命令注入攻击被阻断");
            ctx.getLogger().error("命令注入检测: cmd={}, user={}", 
                command, getCurrentUser());
        }
    }
}

// 误报场景：用户昵称包含 SQL 关键字
String nickname = "admin' OR '1'='1";
// RASP 可能误判为 SQL 注入

// 解决方案：配置上下文白名单
whitelist:
  - type: parameter
    name: nickname
    pattern: "^[a-zA-Z0-9_]+$"
    action: ignore

// RASP 自动拦截危险的 SQL 操作
// 注入场景 1：用户输入直接拼接
String sql = "SELECT * FROM users WHERE id = " + userId;
// RASP 检测到：userId 来自用户输入，未净化

// 注入场景 2：MyBatis ${} 拼接
// <select>SELECT * FROM ${tableName}</select>
// RASP 检测到：tableName 来自用户输入

// RASP 防护行为
// 1. 阻断请求
// 2. 记录攻击详情（SQL、时间、IP、用户）
// 3. 发送告警到 SIEM

// 反射型 XSS
// http://example.com/search?q=<script>alert(1)</script>
// RASP 检测到：恶意脚本标签出现在响应中

// 存储型 XSS
// 用户提交的个人简介包含 <img src=x onerror=...>
// 当其他用户查看时，RASP 检测到恶意代码执行

// RASP 防护行为
// 1. 过滤或转义恶意内容
// 2. 阻断脚本执行
// 3. 记录攻击者信息

// 危险代码
String host = request.getParameter("host");
String cmd = "ping -c 3 " + host;
Runtime.getRuntime().exec(cmd);

// 攻击示例
// host = "127.0.0.1; rm -rf /"
// 实际执行：ping -c 3 127.0.0.1; rm -rf /

// RASP 防护行为
// 1. 检测命令中的特殊字符（;、|、&、$）
// 2. 阻断命令执行
// 3. 记录完整攻击链

// 路径遍历攻击
String filename = request.getParameter("file");
FileInputStream fis = new FileInputStream(filename);
// 攻击示例：file = ../../../etc/passwd

// RASP 防护行为
// 1. 检测路径中的 ../
// 2. 验证最终路径是否在允许目录内
// 3. 阻断非法文件访问