其他配置选项

通用配置

以下配置支持云端下发,也支持单机修改。若开启远程管理,单机配置不会加载;如果没有开启,Java 版本单机配置修改后立即生效,PHP 大部分情况下会立即生效。

目前配置路径如下:

  • PHP 版本: <openrasp_rootdir>/conf/openrasp.yml
  • Java 版本: <app_home>/rasp/conf/openrasp.yml

插件相关

参数值说明默认值
plugin.timeout.millis对于单个检测算法,JS 插件超时时间 (毫秒)100
plugin.maxstack插件获取堆栈的最大深度100
plugin.filter针对文件访问hook点,是否开启过滤机制。若开启,当目标文件不存在,将不进入检测插件。 支持 directory, readFile, rename, include 四个 hook 点true
body.maxbytes最多读取 POST body 的前多少字节4096
lru.maxsize当某个攻击参数判定为 ignore,会进入缓存,下次不再处理。LRU 目前只针对数据库、文件访问生效,且所有检测点共享一个LRU。1024
ognl.expression.minlength为了减少OGNL检测的性能损耗,当OGNL语句达到这个长度才调用插件30

文件日志相关

参数值说明默认值
log.maxstack报警日志记录的最大堆栈深度(v1.2开始废弃)50
log.maxburst每个进程/线程每分钟最大日志条数100
log.maxbackup日志最大备份天数30

syslog 日志相关

syslog.facility 的值请参考 What are Syslog Facilities and Levels,比如 7 表示 news 类型。另外,由于报警日志大小超过 1KB,所以我们仅支持 TCP 方式推送报警。

参数值说明默认值
syslog.enable是否开启 syslogfalse
syslog.url服务器地址,如 tcp://ip:port(空)
syslog.tagtag 值OpenRASP
syslog.facilityfacility 值1
syslog.connection_timeout连接超时时间 (毫秒)50
syslog.read_timeout读超时时间 (毫秒)10
syslog.reconnect_interval重连时间间隔 (秒)300

拦截相关

参数值说明默认值
block.status_code拦截攻击后,将状态码设置为这个值302
block.redirect_url拦截攻击后,跳转到这个URL,并根据模板设置 request_id 参数https://rasp.baidu.com/blocked/?request_id=%request_id%
block.content_json拦截攻击后,若期望响应类型为JSON,则根据此模板显示内容{"error":true,"reason": "Request blocked by OpenRASP","request_id": "%request_id%"}
block.content_xml拦截攻击后,若期望响应类型为XML,则根据此模板显示内容<?xml version="1.0"?><doc><error>true</error><reason>Request blocked by OpenRASP</reason><request_id>%request_id%</request_id></doc>
block.content.html拦截攻击后,若期望响应类型为其他情况,则根据此模板显示内容</script><script>location.href="https://rasp.baidu.com/blocked2/?request_id=%request_id%"</script>

熔断配置

注意: 目前仅 Java 服务器支持熔断,PHP 暂不支持

参数值说明默认值
cpu.usage.enable是否开启熔断支持false
cpu.usage.interval每隔多少秒采集一次CPU占用率配置范围是 1-18005
cpu.usage.percent当单核CPU占用率超过这个数值,关闭所有防护。配置范围是 30-9090

其他配置

参数值说明默认值
request.param_encoding仅Java支持,设置 Form 参数的编码格式。设置后,可在用户解析参数之前按照该编码提前获取用户输入,如 UTF-8(空)
clientip.header从指定的 HTTP header 里获取客户端真实IP,并记录到报警日志的 client_ip 字段里。注意: 本配置区分大小写。ClientIP
inject.urlprefix对于以下URL,修改响应并注入HTML(空)
debug.leveldebug 等级,0为关闭 debug 模式0
decompile.enable是否开启反汇编功能。开启后可获取源代码,但是会非常消耗性能0

PHP 版本独立配置

以下配置无法云端下发,需要放在 php.ini 里,修改后重启PHP服务器生效。

参数值说明默认值
openrasp.root_diropenrasp 根目录,存放插件、日志(空)
openrasp.locale配置的语言类型(空)
openrasp.heartbeat_interval心跳间隔,单位秒180
openrasp.backend_url云控后台 URL 地址(空)
openrasp.app_id云控通信使用的 app_id 值(空)
openrasp.rasp_id自定义的 RASP ID,如果空就计算一个(空)
openrasp.app_secret云控通信使用的 app_secret 值(空)
openrasp.remote_management_enable是否开启远程管理功能false

Java 版本独立配置

以下配置虽然还是在 openrasp.yml 里,但是无法云端下发,且修改后需要重启服务器生效。

参数值说明默认值
cloud.backend_url云控后台 URL 地址(空)
cloud.app_id云控通信使用的 app_id 值(空)
cloud.app_secret云控通信使用的 app_secret 值(空)
cloud.enable是否开启远程管理功能false
cloud.heartbeat_interval心跳间隔,单位秒180
hooks.ignore默认开启全部 hook 点,有不需要的可在这里关闭,逗号分隔(空)
rasp.id自定义的 RASP ID,如果空就计算一个(空)

hooks.ignore 全部可选值

其中 http_output 为HTML注入功能,其他的都比较好理解。修改后需要重启 Java 应用服务器。

hooks.ignore=sql,sqlPrepared,directory,request,readFile,writeFile,fileUpload,command,xxe,ognl,deserialization,include,ssrf,http_output,webdav,sqlSlowQuery,rename,dubboRequest

若要禁用所有 hook 点,可直接使用 hooks.ignore=all 配置。

V8 通用

提高内存 (1.2.2 之后无需修改)

当在标准输出或者插件日志里看到如下内容时候,可以考虑提高内存占用:

  • [libopenrasp_v8_java.so+0xb4f142] v8::base::OS::Abort()+0x12
  • Allocation failed - JavaScript heap out of memorye.g 将老生代内存设置为20MB,新生代2MB:
  1. export OPENRASP_V8_OPTIONS="--max-old-space-size=20 --max-semi-space-size=2"

对于 Tomcat 这样具有启动脚本的服务器,在启动脚本最前面加上即可

  1. #!/bin/sh
  2. export OPENRASP_V8_OPTIONS="--max-old-space-size=20 --max-semi-space-size=2"
  3. # Licensed to the Apache Software Foundation (ASF) under one or more
  4. # contributor license agreements. See the NOTICE file distributed with
  5. # this work for additional information regarding copyright ownership.

对于 SpringBoot 这样直接使用 java 命令启动的服务器,在启动之前设置下环境变量即可

  1. export OPENRASP_V8_OPTIONS="--max-old-space-size=20 --max-semi-space-size=2"
  2. java -jar XXX.jar [其他参数]

注意: 设置后需要重启 Java、PHP 进程生效。