DongTai-agent-java洞態IAST的Java應用探針

DongTai-agent-java 是洞態IAST?針對 Java 應用開發的數據采集端。在添加 iast-agent 代理的 Java 應用中，通過改寫類字節碼的方式采集所需數據，然后將數據發送至 DongTai-openapi 服務，再由云端引擎處理數據判斷是否存在安全漏洞。

DongTai-agent-java 由agent.jar、iast-core.jar?、iast-inject.jar、dongtai-servlet.jar四部分構成，其中：

• agent.jar用來管理 agent 的生命周期和配置。agent 的生命周期包括下載、安裝、啟動、停止、重啟、卸載。agent 的配置包括配置應用啟動模式、漏洞檢驗模式、是否開啟代理等。
• iast-core.jar是核心 jar 包，其主要功能是：字節碼插樁、數據采集、數據預處理、數據上報、第三方組件管理等。
• iast-inject.jar是間諜 jar 包，用于注入至BootStrap ClassLoader，后續在目標應用中調用iast-core.jar中的數據采集方法
• dongtai-servlet.jar用于獲取應用發送的請求以及收到的響應，用于數據展示以及請求重放功能。

應用場景

• DevOps流程
• 上線前安全測試
• 第三方組件管理
• 代碼審計
• 0 Day挖掘

快速上手

快速使用

請參考：快速開始

快速開發

1. Fork?DongTai-agent-java?項目到自己的github倉庫并 clone 項目：

   git clone https://github.com//DongTai-agent-java

2. 根據需求編寫代碼

3. 使用 Maven 編譯 DongTai-agent-java ：

   mvn clean package -Dmaven.test.skip=true

   • jdk版本為1.8

4. 編譯結束后會在項目根目錄生成文件夾./release：

   release
   ├── iast-agent.jar
   └── lib
       ├── dongtai-servlet.jar
       ├── iast-core.jar
       └── iast-inject.jar
   

5. 拷貝iast-core.jar、iast-inject.jar、dongtai-servlet.jar到系統臨時目錄。獲取系統臨時目錄可運行以下 Java 代碼：

   System.getProperty("java.io.tmpdir");

6. 運行應用，測試代碼（以SpringBoot應用為例）：java -javaagent:/path/to/iast-agent.jar -Ddebug=true -jar app.jar

7. 貢獻代碼。如果您想要向洞態 IAST 團隊貢獻代碼，請閱讀完整的貢獻指南

支持的Java版本及中間件

• Java 1.6+
• Tomcat、Jetty、WebLogic、WebSphere、SpringBoot等主流軟件和中間件

notice:?jdk 1.6開發的Agent需要使用Maven 3.2.5進行構建