OpenRASP 支持单机模式运行，只不过大部分操作都需要登录服务器进行。
修改配置
请参考 文档，手动编辑配置文件。部分配置需要重启服务生效。
查看日志
请参考 文档，了解我们的日志格式和存储路径。也可以参考 文档了解如何将日志发往SIEM平台。
设置白名单
编辑配置文件，
PHP 版本一般为: /opt/rasp/conf/openrasp.yml
Java 版本路径为: $APP_HOME/rasp/conf/openrasp.yml
假设我们白名单的需求是这样的:
针对 pma.baidu.com/phpmyadmin/，关闭 SQL 检测点
我们定位到 hook.white（如果没有可以手动添加）并增加如下内容:
hook.white:
"*":
- "ssrf"
"www.baidu.com":
- "all"
"pma.baidu.com/phpmyadmin/":
- "sql"
{
...
"attack_type": "readFile",
...
}
其中 all 表示关闭所有检测点。
检测插件
注意: 对于单机版本，Java 版本默认监控了插件目录，当目录里有任何插件发生变化，将会立即重新加载所有插件；PHP 版本默认没有开启 fswatch，所以需要重启 httpd/php-fpm 生效。远程管理版本不受影响，支持插件热加载。
插件安装目录如下，其中 official.js 为官方插件:
Java 版本是 <app_home>/rasp/plugins/
PHP 版本是 <openrasp_rootdir>/rasp/plugins/
开启拦截
打开官方插件，首先定位到如下内容，将 all_log 改为 false。修改后，大部分检测算法都会变成拦截模式:
var algorithmConfig = {
// 快速设置
meta: {
// 若 all_log 开启，表示为观察模式，会将所有的 block 都改为 log
all_log: true,
// 若 is_dev 开启，表示为线下环境，将开启更多消耗性能的检测算法
is_dev: false,
// schema 版本
schema_version: 1
},
...
对于其他算法，如XSS检测，还需要手动调整拦截策略，即修改 action 字段为 block:
var algorithmConfig = {
...
xss_userinput: {
name: '算法2 - 拦截输出在响应里的反射 XSS',
action: 'block',
filter_regex: "<![\\-\\[A-Za-z]|<([A-Za-z]{1,12})[\\/ >]",
min_length: 15,
},
...
}
开启行为日志
打开官方插件，首先定位到如下内容，将log_event改为true
var algorithmConfig = {
// 快速设置
meta: {
// 若 all_log 开启，表示为观察模式，会将所有的 block 都改为 log
all_log: true,
// 若 is_dev 开启，表示为线下环境，将开启更多消耗性能的检测算法
is_dev: false,
// 若 log_event 开启，将打印应用行为信息到 plugin.log
log_event: false,
// schema 版本
schema_version: 1
},
...
开启后，JS插件会把应用的所有行为和堆栈都打印到<rasp_home>/logs/plugin/plugin.log，比如
2022-03-07 15:05:56,658 INFO [http-nio-8080-exec-1][com.baidu.openrasp.plugin.js.log] http://127.0.0.1:8080/ [official] JNDI lookup: ldap://127.0.0.1:1389/a [ 'com.sun.jndi.toolkit.url.GenericURLContext.lookup',
'com.sun.jndi.url.ldap.ldapURLContext.lookup',
'javax.naming.InitialContext.lookup',
'org.apache.logging.log4j.core.net.JndiManager.lookup',
'org.apache.logging.log4j.core.lookup.JndiLookup.lookup',
'org.apache.logging.log4j.core.lookup.Interpolator.lookup',
...]
安装插件
状态检查
你可以在插件末尾，打印一条日志，e.g
当插件成功加载后就会执行，并在 plugin.log 里打印这条消息:
2017-10-18 17:30:34,781 INFO [main][com.baidu.openrasp.plugin.log] [offical] 初始化成功
若插件有语法错误会打印日志，e.g
2017-10-18 17:40:01,402 INFO [main][com.baidu.openrasp.plugin.log] org.mozilla.javascript.EvaluatorException: unterminated string literal (plugin.js#335)
卸载插件
应用加固
在配置文件里，找到 inject.custom_headers 内容，并修改配置即可。
inject.custom_headers:
X-Protected-By: OpenRASP
# X-Content-Type-Options: nosniff
# X-Frame-Options: deny
# X-XSS-Protection: 1; mode=block
# X-Download-Options: noopen
若要去掉所有响应头信息，可以设置为空数组:
inject.custom_headers:
# X-Protected-By: OpenRASP
# X-Content-Type-Options: nosniff
# X-Frame-Options: deny
# X-XSS-Protection: 1; mode=block
# X-Download-Options: noopen
FAQ
1. 我修改了检测插件，总要重启服务器才会生效
如果你是在 VMWare 虚拟机里测试 OpenRASP，然后插件是放在 VMWare 共享 里的，这个时候 inotify 不会生效，也就无法实时更新插件
这可能是因为 vmhgfs 跟 inotify 本身存在兼容性问题，解决方法就是将整个服务器软件都复制到虚拟机的磁盘上，比如 /root/tomcat/