震惊！百度安全这一利器让RASP漏洞检测效率提升1000%

棉花糖糖糖
棉花糖糖糖

棉花糖网络安全工具箱

2026年10月13日 10:39
四川

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

重点导读概述

使用该测试环境前，请务必确保所有操作均在合法授权的测试环境中进行。未经授权对任何系统进行安全测试可能违反相关法律法规。

OpenRASP Cloud 自动化测试环境是一套基于 Docker Compose 构建的集成化测试平台，专注于 RASP（Runtime Application Self-Protection）技术验证。该环境覆盖 PHP、Java 两大主流语言版本，支持 Apache、Nginx、Tomcat 等多种 Web 服务器，通过模拟真实攻击场景验证 RASP 防护效能。

重点导读技术架构

PART 01容器服务

测试环境包含以下核心容器：

PART 02测试覆盖

PHP Agent

• PHP5.3/5.4/5.5/5.6/7.0/7.1/7.2/7.3 版本兼容
• ZTS 与 non-ZTS 模式支持
• SAPI 覆盖：cli-server、fpm-cgi、apache2handler、cgi
• HOOK 点覆盖：命令执行、文件操作、SQL 注入、XSS、SSRF、目录遍历、文件包含、Webshell 检测
• 基线检测：数据库连接配置、PHP ini 安全配置

Java Agent

• Tomcat 8 运行环境
• HOOK 点验证
• 云端插件更新测试

云端交互

• 插件注册与更新
• 配置下发验证
• 日志推送确认

重点导读测试流程

PART 03环境启动

bashdocker-compose up

PART 04进入测试容器

bashdocker-compose exec tester /bin/bash

PART 05初始化测试环境

bashcd /root/test-script/
python init.py

PART 06执行测试

bashpython unit_test.py

重点导读测试用例设计

PART 07通用配置项

测试用例覆盖 OpenRASP 全部配置参数：

• plugin.timeout.millis
• plugin.maxstack
• log.maxburst、log.maxstack、log.maxbackup
• syslog 相关配置
• block 拦截响应配置
• inject.urlprefix
• body.maxbytes
• lru.max\_size
• hook.white
• xss.filter\_regex、xss.min\_param\_length、xss.max\_detection\_num

PART 08攻击场景模拟

测试脚本模拟以下攻击类型：

• SQL 注入
• SSRF
• XSS
• 命令执行
• 文件操作
• Webshell 调用

PART 09已知问题

LRU 机制会影响部分测试结果。sql 类和 ssrf 类检测使用 LRU 缓存，可能导致插件更新测试结果出现偏差，不宜选作测试用例。

重点导读项目地址

本公众号非项目作者，仅做技术分享。

本文介绍的项目开源地址如下：

https://github.com/baidu-security/openrasp-test-env

广告时间

低价考证包括但不限于CISP系列、PMP等等国内网安证书、网络安全交流群请关注公众号后点菜单栏的找棉花糖。

糖心会员站，网络安全必备网站，包括在线内网靶场、web靶场、src靶场、应急响应靶场，以及各种网安资料、教程、方案模版、以及超级多在线工具，99元包年！详细介绍：棉花糖会员站介绍(26年4月26日版本) ：在线内网靶场、网安资料方案、在线工具全能资源站，看完介绍百分百心动！