DongTai-agent-java 是洞態(tài)IAST?針對(duì) Java 應(yīng)用開(kāi)發(fā)的數(shù)據(jù)采集端。在添加 iast-agent 代理的 Java 應(yīng)用中，通過(guò)改寫(xiě)類(lèi)字節(jié)碼的方式采集所需數(shù)據(jù)，然后將數(shù)據(jù)發(fā)送至 DongTai-openapi 服務(wù)，再由云端引擎處理數(shù)據(jù)判斷是否存在安全漏洞。

DongTai-agent-java 由agent.jar、iast-core.jar?、iast-inject.jar、dongtai-servlet.jar四部分構(gòu)成，其中：

• agent.jar用來(lái)管理 agent 的生命周期和配置。agent 的生命周期包括下載、安裝、啟動(dòng)、停止、重啟、卸載。agent 的配置包括配置應(yīng)用啟動(dòng)模式、漏洞檢驗(yàn)?zāi)Ｊ?、是否開(kāi)啟代理等。
• iast-core.jar是核心 jar 包，其主要功能是：字節(jié)碼插樁、數(shù)據(jù)采集、數(shù)據(jù)預(yù)處理、數(shù)據(jù)上報(bào)、第三方組件管理等。
• iast-inject.jar是間諜 jar 包，用于注入至BootStrap ClassLoader，后續(xù)在目標(biāo)應(yīng)用中調(diào)用iast-core.jar中的數(shù)據(jù)采集方法
• dongtai-servlet.jar用于獲取應(yīng)用發(fā)送的請(qǐng)求以及收到的響應(yīng)，用于數(shù)據(jù)展示以及請(qǐng)求重放功能。

應(yīng)用場(chǎng)景

• DevOps流程
• 上線前安全測(cè)試
• 第三方組件管理
• 代碼審計(jì)
• 0 Day挖掘

快速上手

快速使用

請(qǐng)參考：快速開(kāi)始

快速開(kāi)發(fā)

1. Fork?DongTai-agent-java?項(xiàng)目到自己的github倉(cāng)庫(kù)并 clone 項(xiàng)目：

   git clone https://github.com//DongTai-agent-java

2. 根據(jù)需求編寫(xiě)代碼

3. 使用 Maven 編譯 DongTai-agent-java ：

   mvn clean package -Dmaven.test.skip=true

   • jdk版本為1.8

4. 編譯結(jié)束后會(huì)在項(xiàng)目根目錄生成文件夾./release：

   release
   ├── iast-agent.jar
   └── lib
       ├── dongtai-servlet.jar
       ├── iast-core.jar
       └── iast-inject.jar
   

5. 拷貝iast-core.jar、iast-inject.jar、dongtai-servlet.jar到系統(tǒng)臨時(shí)目錄。獲取系統(tǒng)臨時(shí)目錄可運(yùn)行以下 Java 代碼：

   System.getProperty("java.io.tmpdir");

6. 運(yùn)行應(yīng)用，測(cè)試代碼（以SpringBoot應(yīng)用為例）：java -javaagent:/path/to/iast-agent.jar -Ddebug=true -jar app.jar

7. 貢獻(xiàn)代碼。如果您想要向洞態(tài) IAST 團(tuán)隊(duì)貢獻(xiàn)代碼，請(qǐng)閱讀完整的貢獻(xiàn)指南

支持的Java版本及中間件

• Java 1.6+
• Tomcat、Jetty、WebLogic、WebSphere、SpringBoot等主流軟件和中間件

notice:?jdk 1.6開(kāi)發(fā)的Agent需要使用Maven 3.2.5進(jìn)行構(gòu)建