I sidste år lancerede vi Nemesida WAF Free - en dynamisk modul til NGINX, der blokerer angreb på webapplikationer. I modsætning til den kommercielle version, som er baseret på maskinlæring, analyserer den gratis version forespørgsler kun ved hjælp af signaturmetoden.
Funktioner i Nemesida WAF 4.0.129
Indtil den nuværende version understøttede det dynamiske modul Nemesida WAF kun Nginx Stable 1.12, 1.14 og 1.16. I den nye version er der tilføjet support til Nginx Mainline fra 1.17 og Nginx Plus fra 1.15.10 (R18).
Hvorfor lave endnu en WAF?
NAXSI og mod_security er sandsynligvis de mest populære gratis WAF-moduler, hvor mod_security aktivt fremmes af Nginx, selvom det oprindeligt kun blev brugt i Apache2. Begge løsninger er gratis, open source og har mange brugere verden over. For mod_security er der gratis og kommercielle signaturpakker tilgængelige, til $500 om året, mens der for NAXSI findes en gratis signaturpakke 'out of the box', samt yderligere regelsæt som doxsi.
I år har vi testet NAXSI og Nemesida WAF Free. Kort opsummeret om resultaterne:
- NAXSI udfører ikke dobbelt URL-dekode i cookies
- NAXSI er meget tidskrævende at konfigurere - som standard vil de grundlæggende indstillinger blokere størstedelen af anmodningerne, når man arbejder med webapplikationen (login, redigering af profil eller materiale, deltagelse i afstemninger osv.), og det er nødvendigt at generere undtagelseslister, hvilket er skadelig for sikkerheden. Nemesida WAF Free havde ingen falske positiver med standardindstillingerne under brugen af websitet.
- Antallet af angreb der ikke bliver blokeret af NAXSI er mange gange højere osv.
På trods af ulemperne har NAXSI og mod_security mindst to fordele - open source og et stort antal brugere. Vi støtter ideen om at åbne koden, men kan ikke gøre det endnu på grund af mulige 'pirateriproblemer' med den kommercielle version, men for at kompensere for denne mangel - afslører vi fuldstændigt indholdet i signaturpakken. Vi værdsætter privatlivets fred og giver dig mulighed for selv at bekræfte dette ved hjælp af en proxy -server.
Kendetegn ved Nemesida WAF Free:
- kvalitets signaturpakke med et minimalt antal falske positiver og falske negativer.
- let installation og opdatering fra depotet (det er hurtigt og bekvemt);
- enkle og klare hændelser om hændelser, ikke en 'suppe', som med NAXSI;
- helt gratis, uden begrænsninger for trafik, virtuelle værter osv.
Til slut vil jeg give nogle forespørgsler til vurdering af WAF's funktion (det anbefales at bruge i hver af zonerne: URL, ARGS, Headers & Body):
')) un","ion se","lect 1,2,3,4,5,6,7,8,9,0,11#"]
')) union/**/select/**/1,/**/2,/**/3,/**/4,/**/5,/**/6,/**/7,/**/8,/**/9,/**/'some_text',/**/11#"]
union(select(1),2,3,4,5,6,7,8,9,0x70656e746573746974,11)#"]
')) union+/*!select*/ (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"]
')) /*!uion*/ /*!seect*/ (1),(2),(3),(4),(5),(6),(7),(8),(9.),(0x70656e746573746974),(11)#"]
')) **union**select (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"]
1807182982union
select123456789%2some_text11
cat /et?/?pa?swd
cat /et'c/pa'ss'wd
cat /et*/pa**wd
e'c'ho 'swd test pentest' |awk '{print "cat /etc/pas"$1}' |bas'h
cat /etc/passwd
cat$u+/etc$u/passwd$u
<svg/onload=alert()//
Hvis forespørgslerne ikke bliver blokeret, er det sandsynligt, at WAF også vil tillade en reel angreb. Før du bruger eksemplerne, skal du sikre dig, at WAF ikke blokerer legitime forespørgsler.
Kilde: habr.com
