IAST技术知识-Java环境Agent部署知识干货分享 - 嘶吼 RoarTalk – 回归最本质的信息安全,互联网安全新媒体,4hou.com

IAST技术知识-Java环境Agent部署知识干货分享

孝道科技 技术 2022-06-10 16:39:18
收藏

导语:一篇Java环境Agent部署知识送给部署困难户~

场景导入

目前IAST应用环境中,Java应用占据了90%以上。传统IAST对Java应用进行Agent安装时,需要修改Tomcat、WebLogic等的启动脚本,增加javaagent参数来实现Agent的安装加载。

对于安装人员来说,Agent安装需要知悉Web容器的安装路径,并且需要对每个容器的启动脚本进行修改,最后重启Web容器,完成Agent的安装。

在实际的使用过程中,部署人员常常由于脚本修改不当、找不到Web容器等问题导致安装失败。除此之外,当团队需要对几百上千个应用进行安装测试时,对安装人员来说将是一项异常艰巨的任务。此外,若后期需要对Agent进行升级或者卸载操作也将是一场运维灾难。

Agent部署技术基础

JDK从1.5版本开始引入了java.lang.instrument包,可以通过其更方便地实现字节码增强。核心功能由java.lang.instrument.Instrumentation提供,这个接口的方法提供了注册类文件转换器、获取所有已加载的类等功能,允许对已加载和未加载的类进行修改。

在JDK5中,开发人员只能在JVM启动时指定一个java agent,在premain中操作字节码,这种Instrumentaion方式仅限于main方法执行前,存在很大的局限性。从JDK6开始引入了动态Attach Agent的方案,可以在JVM启动后任意时刻远程加载Agent,jstack、jps、jmap等工具都是利用Attach API来实现的。

Instrumentation的第一种使用方式是通过JVM的启动参数-javaagent来启动,一个典型的使用方式如下所示:

1.png 

在SecPoint.jar中,AgentMain类有一个静态的premain方法,JVM在类加载时会先执行AgentMain类的premain方法,再执行Java应用本身的main方法。在premain方法中可以对class文件进行修改。这种字节码修改的方式并不会对源代码做任何修改,但是可以实现对JVM中的类的动态修改和增强,从而捕获应用程序的数据传播过程。

Instrumentation的第二种方式是在JVM运行以后在任意时刻通过Attach API远程加载Agent的jar包。在启动时加载的Agent会调用premain方法,动态Attach的Agent会执行agentmain方法。Attach的发起端是一个独立的java程序,这个java程序会调用`VirtualMachine.attach`方法开始和目标JVM进行跨进程通信,从而实现字节码增强。

安全玻璃盒经验

目前,【安全玻璃盒】孝道科技IAST为了满足真实场景下大规模部署的场景,针对Java Agent的安装方式做了多种方式的功能实现,使得用户能够根据实际需求灵活选择部署方式,尽可能将Agent安装过程自动化,减轻部署及后续运维的工作量。

1.手动java agent部署

这种方式即为传统的javaagent部署方式,首先需要将Agent下载至应用服务器中,之后修改对应Web容器的启动脚本(例如,tomcat需要修catalina.sh或者catalina.bat),在指定位置添加javaagent等参数后重启容器即可完成安装部署。

2.png

2.自动java agent部署

该方式由安装人员或者在后台指定Web容器的位置,并Agent下载至应用服务器后,通过使用“install”参数启动Agent后,将自动修改Web容器启动脚本中的启动脚本,在其中添加对应的参数。例如:

3.png 

3.Attach部署

Attach部署方式需要JDK6以上版本,并且需要服务器中具备JDK环境(JRE不包含tools.jar和attach.so)。将Agent下载至应用服务器后,通过启动Agent并选择需要绑定的java进程,即可针对指定java服务完成Agent安装部署。

4.png

4.一键脚本部署

自动化脚本的方式能够通过统一的脚本实现对不同应用环境的Java服务进行Agent部署安装,当在应用服务器运行脚本后,能够自动从后台服务器下载Agent至服务器中,并自动对java进行进行Attach安装。该方式对于大规模部署及容器等环境极为适用。

如若转载,请注明原文地址
  • 分享至
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

发表评论