系统架构 - PHP 版本

简要说明

关于PHP扩展开发,可参考 Extending and Embedding PHP

以 cli SAPI 为例,其单个请求生命周期如下图所示:

ref: Extending and Embedding PHP

OpenRASP 核心原理为:在 MINIT 阶段,替换全局compiler_globalsfunction_tableclass_table中特定 PHP_FUNCTION 对应的函数指针(封装原有handler,增加前置、后置处理),由此实现对敏感函数的挂钩。通过敏感函数参数结合请求信息判断是否存在攻击行为,进而采取拦截或者放行操作。

启动流程

OpenRASP 采用模块化的结构,按照初始化顺序,启动流程如下:

  • 初始化OpenRASP所需全局变量
  • 注册INI配置条目,通过ini配置文件初始化全局配置
  • 日志模块,记录报警、插件、基线等日志,支持FILE/TCP/UDP
  • V8模块,JS运行环境,负责插件加载与结合运行时上下文的检测能力
  • HOOK模块,敏感PHP_FUNCTION挂钩执行检测及检测结果处理
  • INJECT模块,针对特定URL,修改响应内容,注入HTML
  • 安全基线检查模块,检查敏感ini配置项
  • 文件监控模块,监控插件目录,实现运行时检测逻辑修改下面针对几个主要的模块进行针对性说明:
日志模块

日志模块启动流程如下:

  • 初始化日志模块所需全局变量
  • 申请共享内存(针对特定SAPI),用于部分日志的进/线程间同步
  • 获取本机网卡以及主机信息,用于基线日志记录
V8模块

我们将 V8 嵌入到 OpenRASP 中作为 JavaScript 插件的执行引擎

  • MINIT 阶段载入所有插件,生成一份 V8 Startup Snapshot
  • 请求处理线程第一次触发检测时,使用 V8 Startup Snapshot 还原此线程独享的 V8 Isolate
  • 每个请求线程在对应的 V8 Isolate 环境上执行检测逻辑
  • 执行检测逻辑前向 V8 Platform 添加超时监控后台任务,超时后中断检测
  • GSHUTDOWN 阶段销毁线程对应 V8 Isolate
HOOK模块

HOOK流程包含两类:compiler_globals的handler替换和用户自定义opcode_handler,启动流程如下

  • 在全局compiler_globals对应的hashtable(function_table和class_table)中查找非禁用函数对应zend_function
  • 封装原有handler,根据需求增加前置、后置处理
  • 针对指定opcode(如ZEND_INCLUDE_OR_EVAL)通过zend_set_user_opcode_handler自定义处理逻辑
文件监控模块

我们使用经过我们优化增强的 libfswatch 实现了跨平台的文件监控

  • MINIT 阶段初始化 fswatch 实例,并开启后台线程进行目标文件目录监控
  • 目标文件目录发生变化时,根据类型,向支持重载的 SAPI 主线程发送重载信号
  • MSHUTDOWN 阶段停止目标文件目录监控,销毁 fswatch 实例和后台线程
白名单实现

经过对比,我们最终选择了 Double Array Trie 算法来匹配白名单,具体实现如下:

  • 白名单存储。白名单放在共享内存里,当云端下发新的配置,通过读写锁更新
  • 白名单匹配。使用 Double Array Trie 算法在白名单里寻找匹配的项目,并生成检测类型的 bitmask。当进入检测点,根据 bitmask 来决定是否直接放行。
  • 内存消耗。每个检测类型最多允许10条白名单,URL长度最大200。最坏情况下,PHP 版本内存 400 KB。
容器支持

为了适配百度内部的ORP平台,我们特意实现了扩展进程管理模型,以避免再安装一个独立的agent。

在扩展初始化阶段,我们会 fork 出三个进程,分别用于异步日志发送、远程管理、进程守护等功能;在 PHP-FPM 或者 apache 退出或者重启时,我们会杀死这些进程。具体请参考我们的代码实现。

请求处理流程

PHP(mysqli) + MySQL为例,简要说明请求处理的流程,即 RINIT - RSHUTDOWN 阶段:

  • 为新请求计算唯一的request-id,设置response header
  • 初始化不同logger,收集日志相关请求信息
  • 连接数据库,触发 mysqli_connect HOOK点:enforce_policy为1时,若用高权限用户连接数据库,记录基线日志,中断当前请求;enforce_policy为0时,仅当成功连接数据库后检查是否为高权限用户,若是记录日基线志,并将连接信息存入共享内存防止其他进/线程重复报警
  • 数据库语句检测,即mysqli_query HOOK点pre检测,收集查询参数调用V8模块执行检测,具体流程如下:
    • (待添加)
  • 慢查询检测。即mysqli_query HOOK点post检测,通过 call_user_function 检测查询结果数目,超过 openrasp.slowquery_min_rows 配置项则报警
  • RSHUTDOWN阶段:释放请求相关资源,根据 openrasp.inject_urlprefix 配置判断是否注入用户自定义HTML