Нов билд на Nemesida WAF Free за NGINX

Миналата година пуснахме Nemesida WAF Free – динамичен модул за NGINX, който блокира атаки върху уеб приложения. За разлика от търговската версия, която се основава на работа с машинно обучение, безплатната версия анализира заявките само с помощта на метод на сигнатури.

Характеристики на версията Nemesida WAF 4.0.129

До текущото издание динамичният модул Nemesida WAF поддържаше само Nginx Stable 1.12, 1.14 и 1.16. В новото издание е добавена поддръжка за Nginx Mainline, започвайки от 1.17, и Nginx Plus, започвайки от 1.15.10 (R18).

Защо да правим още един WAF?

NAXSI и mod_security са вероятно най-популярните безплатни модули WAF, като mod_security активно се промотира от Nginx, въпреки че първоначално се използваше само в Apache2. И двете решения са безплатни, с отворен код и имат множество потребители по целия свят. За mod_security е наличен безплатен и търговски пакет от сигнатури за 500 $ на година, а за NAXSI – безплатен пакет от сигнатури "извън кутията", както и допълнителни набори от правила, като doxsi.

Тази година проведохме тестове на работата на NAXSI и Nemesida WAF Free. Ако обобщим резултатите:

• NAXSI не извършва двоен URL-decode в cookie.
• NAXSI е изключително труден за настройка – по подразбиране базовите настройки на правилата ще блокират голямата част от повикванията при работа с уеб приложението (авторизация, редактиране на профил или материал, участие в анкети и т.н.) и е необходимо да се генерират списъци с изключения, което оказва отрицателно въздействие върху сигурността. Nemesida WAF Free с настройки по подразбиране не е изпълнила нито едно фалшиво срабатыване по време на работа с сайта.
• броят на пропуските на атаки при NAXSI е многократно по-висок и т.н.

Въпреки недостатъците, NAXSI и mod_security имат поне два предимства – отворен код и голям брой потребители. Подкрепяме идеята за разкриване на изходния код, но в момента не можем да го направим заради възможни проблеми с "пиратството" на търговската версия, но за да компенсираме този недостатък – напълно разкриваме съдържанието на пакета от сигнатури. Ценим конфиденциалността и предлагаме да се уверите сами с помощта на прокси-сървър.

Характеристика на Nemesida WAF Free:

• висококачествена база от сигнатури с минимално количество фалшиви положителни и отрицателни.
• инсталация и актуализация от хранилището (бързо и удобно);
• опростени и разбираеми съобщения за инциденти, а не "каша", както е при NAXSI;
• напълно безплатен, без ограничения по количество трафик, виртуални хостове и т.н.

В заключение ще представя няколко заявки за оценка на работата на WAF (препоръчва се да се използват във всяка от зоните: URL, ARGS, Headers & Body):

')) un","ион се","лектира 1,2,3,4,5,6,7,8,9,0,11#"]
')) union/**/select/**/1/**/2/**/3/**/4/**/5/**/6/**/7/**/8/**/9/**/'some_text',/**/11#"]
union(select(1),2,3,4,5,6,7,8,9,0x70656e746573746974,11)#"]
')) union+ /*!select*\/ (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"]
')) /*!uion*\/ /*!seect*\/ (1),(2),(3),(4),(5),(6),(7),(8),(9.),(0x70656e746573746974),(11)#"]
')) **union**select (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"]
1807182982union
select123456789%2some_text11
cat \/et?\/pa?swd
cat \/et'c\/pa'ss'wd
cat \/et*\/pa**wd
e'c'ho 'swd тест пен тест' |awk '{print "cat \/etc\/pas"$1}' |bas'h
cat \/etc\/passwd
cat$u+\/etc$u\/passwd$u
<svg/onload=alert()//

Ако заявките не бъдат блокирани — вероятно WAF ще пропусне и реална атака. Преди да използвате примерите, уверете се, че WAF не блокира легитимни заявки.

Източник: habr.com