Миналата година пуснахме Nemesida WAF Free — динамичен модул за NGINX, който блокира атаки срещу уеб приложения. За разлика от платената версия, базирана на машинно обучение, безплатната версия анализира заявките само по сигнатурен метод.
Характеристики на версията Nemesida WAF 4.0.129
До текущото издание динамичният модул Nemesida WAF поддържаше само Nginx Stable 1.12, 1.14 и 1.16. В новото издание е добавена поддръжка за Nginx Mainline, от версия 1.17, и Nginx Plus, от версия 1.15.10 (R18).
Защо да правим още един WAF?
NAXSI и mod_security вероятно са най-популярните безплатни WAF модули, а mod_security активно се популяризира от Nginx, въпреки че първоначално е използван само в Apache2. И двете решения са безплатни, с отворен код и имат много потребители по света. За mod_security са налични безплатен и платен пакет от сигнатури за $500 на година, а за NAXSI — безплатен пакет от сигнатури "извън кутията", също могат да се намерят допълнителни набори от правила, като doxsi.
Тази година проведохме тестове на NAXSI и Nemesida WAF Free. Кратко за резултатите:
- NAXSI не извършва двоен URL-decode в cookie
- Настрояването на NAXSI отнема много време — по подразбиране настройките на правилата блокират повечето запитвания при работа с уеб приложение (авторизация, редактиране на профил или материал, участие в анкети и т.н.) и е необходимо да се генерират списъци с изключения, което оказва негативно влияние върху сигурността. Nemesida WAF Free с настройки по подразбиране не показа нито едно фалшиво срабатыване по време на работа със сайта.
- броят на пропуснатите атаки при NAXSI е многократно по-висок и т.н.
Въпреки недостатъците, NAXSI и mod_security имат поне две предимства — отворен код и голям брой потребители. Подкрепяме идеята за разкриване на изходния код, но все още не можем да го направим заради възможни проблеми с "пиратството" на платената версия, но за да компенсираме този недостатък — напълно разкриваме съдържанието на пакета от сигнатури. Ценим конфиденциалността и предлагаме да се уверите сами с помощта на прокси-сървър.
Характеристика на Nemesida WAF Free:
- качествена база от сигнатури с минимално количество False Positive и False Negative.
- инсталация и актуализация от репозитория (бързо и удобно);
- опростени и ясни инциденти, а не „каша“, както при NAXSI;
- напълно безплатен, без ограничения за количеството трафик, виртуални хостове и т.н.
В заключение ще представя няколко заявки за оценка на работата на WAF (препоръчва се да се използват във всяка от зоните: URL, ARGS, Headers & Body):
')) un","ион се","лек 1,2,3,4,5,6,7,8,9,0,11#"]
')) union/**/select/**/1/**/2/**/3/**/4/**/5/**/6/**/7/**/8/**/9/**/'some_text',/**/11#"]
union(select(1),2,3,4,5,6,7,8,9,0x70656e746573746974,11)#"]
')) union+select* / (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"]
')) /*!uion*\/ /*!seect*\/ (1),(2),(3),(4),(5),(6),(7),(8),(9.),(0x70656e746573746974),(11)#"]
')) **union**select (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"]
1807182982union
select123456789%2some_text11
cat /et? /pa?swd
cat /et'c/pas's'wd
cat /et*/pa**wd
e'c'ho 'swd test pentest' |awk '{print "cat /etc/pas"$1}' |bas'h
cat /etc/passwd
cat$u+/etc$u/passwd$u
<svg/onload=alert()//
Ако заявките не бъдат блокирани — тогава, най-вероятно, WAF ще пропусне и реална атака. Преди да използвате примерите, уверете се, че WAF не блокира легитимни заявки.
Източник: habr.com
