深入Java RASP攻防：原理剖析与绕过

RASP定位与价值

实网攻防现状面临AI赋能带来的巨大变革，传统防御手段如WAF和EDR难以应对0day攻击。RASP（运行时应用自我保护）通过深入应用运行时、基于真实执行上下文检测代码行为语义，填补应用层防御盲区，构建WAF+RASP+EDR的立体化纵深防御体系。

Java RASP核心实现机制

RASP通过字节码修改技术对危险方法进行hook，结合策略下发、环境监测和强制中断能力，实时阻断恶意行为。主流JavaRASP实现方案基于Instrumentation，分为Pre-main Agent和Attach Agent两种方式。OpenRASP通过premain方法初始化，hook多个危险类，启动核心防护引擎rasp-engine，创建实例并注入字节码检测逻辑。

RASP的攻击面与绕过实战

SpEL注入可导致任意代码执行，通过线程转移、利用未被hook的危险方法、条件竞争等方式可绕过RASP检测。具体绕过方法包括：

• 利用Spring框架获取WebApplicationContext实例中的Bean数据
• 使用MethodInvokingRunnable实现反射调用任意方法
• 结合腾讯云RASP小tips，如黑名单局限、条件竞争等机制
• 通过JNI将恶意操作转移至Native层执行

未来的思考与展望

RASP攻防面临红蓝双方平衡难题，新一代RASP采用ASM/JVMTI/JNI等技术，同时在Java层和JVM层工作，使得绕过难度增加。