ការបង្កើតថ្មីនៃ Nemesida WAF ឥតគិតថ្លៃសម្រាប់ NGINX

កាលពីឆ្នាំមុន យើងបានចេញផ្សាយ Nemesida WAF Free ដែលជាម៉ូឌុលថាមវន្តសម្រាប់ NGINX ដែលរារាំងការវាយប្រហារលើកម្មវិធីគេហទំព័រ។ មិនដូចកំណែពាណិជ្ជកម្ម ដែលផ្អែកលើការរៀនម៉ាស៊ីន កំណែឥតគិតថ្លៃវិភាគសំណើដោយប្រើតែវិធីសាស្ត្រហត្ថលេខាប៉ុណ្ណោះ។

លក្ខណៈពិសេសនៃការចេញផ្សាយ Nemesida WAF 4.0.129

មុនពេលការចេញផ្សាយបច្ចុប្បន្ន ម៉ូឌុលថាមវន្ត Nemesida WAF គាំទ្រតែ Nginx Stable 1.12, 1.14 និង 1.16 ប៉ុណ្ណោះ។ ការចេញផ្សាយថ្មីបន្ថែមការគាំទ្រសម្រាប់ Nginx Mainline ចាប់ផ្តើមពី 1.17 និង Nginx Plus ចាប់ផ្តើមពី 1.15.10 (R18) ។

ហេតុអ្វីបានជាបង្កើត WAF មួយផ្សេងទៀត?

NAXSI និង mod_security ប្រហែលជាម៉ូឌុល WAF ឥតគិតថ្លៃដែលពេញនិយមបំផុត ហើយ mod_security ត្រូវបានផ្សព្វផ្សាយយ៉ាងសកម្មដោយ Nginx ទោះបីជាដំបូងវាត្រូវបានប្រើតែនៅក្នុង Apache2 ក៏ដោយ។ ដំណោះស្រាយទាំងពីរគឺឥតគិតថ្លៃ ប្រភពបើកចំហ និងមានអ្នកប្រើប្រាស់ជាច្រើននៅជុំវិញពិភពលោក។ សម្រាប់ mod_security សំណុំហត្ថលេខាឥតគិតថ្លៃ និងពាណិជ្ជកម្មអាចរកបានក្នុងតម្លៃ 500 ដុល្លារក្នុងមួយឆ្នាំ សម្រាប់ NAXSI មានសំណុំហត្ថលេខាឥតគិតថ្លៃចេញពីប្រអប់ ហើយអ្នកក៏អាចស្វែងរកសំណុំច្បាប់បន្ថែមដូចជា doxsi ផងដែរ។

ឆ្នាំនេះយើងបានសាកល្បងប្រតិបត្តិការរបស់ NAXSI និង Nemesida WAF Free ។ សង្ខេបអំពីលទ្ធផល៖

• NAXSI មិនធ្វើឌិកូដ URL ពីរដងក្នុងខូគីទេ។
• NAXSI ចំណាយពេលយូរណាស់ដើម្បីកំណត់រចនាសម្ព័ន្ធ - តាមលំនាំដើម ការកំណត់ច្បាប់លំនាំដើមនឹងរារាំងសំណើភាគច្រើននៅពេលធ្វើការជាមួយកម្មវិធីគេហទំព័រ (ការអនុញ្ញាត កែសម្រួលទម្រង់ ឬសម្ភារៈ ចូលរួមក្នុងការស្ទង់មតិ។ល។) ហើយវាចាំបាច់ក្នុងការបង្កើតបញ្ជីករណីលើកលែង។ ដែលជះឥទ្ធិពលអាក្រក់ដល់សន្តិសុខ។ Nemesida WAF Free ជាមួយនឹងការកំណត់លំនាំដើមមិនដំណើរការវិជ្ជមានមិនពិតតែមួយខណៈពេលធ្វើការជាមួយគេហទំព័រនោះទេ។
• ចំនួននៃការវាយប្រហារដែលខកខានសម្រាប់ NAXSI គឺខ្ពស់ជាងច្រើនដង។ល។

ទោះបីជាមានការខ្វះខាតក៏ដោយ NAXSI និង mod_security មានគុណសម្បត្តិយ៉ាងហោចណាស់ពីរ - ប្រភពបើកចំហ និងអ្នកប្រើប្រាស់មួយចំនួនធំ។ យើងគាំទ្រគំនិតនៃការបង្ហាញកូដប្រភព ប៉ុន្តែយើងមិនអាចធ្វើវាបាននៅឡើយទេ ដោយសារបញ្ហាដែលអាចកើតមានជាមួយ "ការលួចចម្លង" នៃកំណែពាណិជ្ជកម្ម ប៉ុន្តែដើម្បីទូទាត់សងសម្រាប់ការខ្វះខាតនេះ យើងកំពុងបង្ហាញយ៉ាងពេញលេញនូវខ្លឹមសារនៃសំណុំហត្ថលេខា។ យើងផ្តល់តម្លៃលើភាពឯកជន ហើយស្នើឱ្យអ្នកផ្ទៀងផ្ទាត់វាដោយខ្លួនឯងដោយប្រើម៉ាស៊ីនមេប្រូកស៊ី។

លក្ខណៈពិសេសនៃ Nemesida WAF ឥតគិតថ្លៃ៖

• មូលដ្ឋានទិន្នន័យហត្ថលេខាដែលមានគុណភាពខ្ពស់ជាមួយនឹងចំនួនអប្បបរមានៃ False Positive និង False Negative។
• ការដំឡើងនិងធ្វើបច្ចុប្បន្នភាពពីឃ្លាំង (វាលឿននិងងាយស្រួល);
• ព្រឹត្តិការណ៍សាមញ្ញ និងអាចយល់បានអំពីឧប្បត្តិហេតុ និងមិនមែនជា "រញ៉េរញ៉ៃ" ដូច NAXSI;
• ឥតគិតថ្លៃទាំងស្រុង មិនមានការរឹតបន្តឹងលើចំនួនចរាចរណ៍ ម៉ាស៊ីននិម្មិត ជាដើម។

សរុបសេចក្តី ខ្ញុំនឹងផ្តល់សំណួរជាច្រើនដើម្បីវាយតម្លៃដំណើរការរបស់ WAF (វាត្រូវបានណែនាំឱ្យប្រើវានៅក្នុងតំបន់នីមួយៗ៖ URL, ARGS, បឋមកថា និងតួ):

')) un","ion se","lect 1,2,3,4,5,6,7,8,9,0,11#"] ')) union/**/select/**/1,/**/2,/**/3,/**/4,/**/5,/**/6,/**/7,/**/8,/**/9,/**/'some_text',/**/11#"] union(select(1),2,3,4,5,6,7,8,9,0x70656e746573746974,11)#"] ')) union+/*!select*/ (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"] ')) /*!u%6eion*/ /*!se%6cect*/ (1),(2),(3),(4),(5),(6),(7),(8),(9.),(0x70656e746573746974),(11)#"] ')) %2f**%2funion%2f**%2fselect (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"] %5B%221807182982%27%29%29%20uni%22%2C%22on
%20sel%22%2C%22ect%201%2C2%2C3%2C4%2C5%2C6%2C7%2C8%2C9%2C%2some_text%27%2C11%23%22%5D
cat /et?/pa?swd
cat /et'c/pa'ss'wd
cat /et*/pa**wd
e'c'ho 'swd test pentest' |awk '{print "cat /etc/pas"$1}' |bas'h
cat /etc/passwd
cat$u+/etc$u/passwd$u
<svg/onload=alert()//

ប្រសិនបើសំណើមិនត្រូវបានរារាំង នោះទំនងជា WAF នឹងខកខានការវាយប្រហារពិតប្រាកដ។ មុនពេលប្រើឧទាហរណ៍ ត្រូវប្រាកដថា WAF មិនរារាំងសំណើស្របច្បាប់ទេ។

ប្រភព: www.habr.com