Tamin'ny taon-dasa dia namoaka Nemesida WAF Free izahay, maody mavitrika ho an'ny NGINX izay manakana ny fanafihana amin'ny rindranasa tranonkala. Tsy toy ny dikan-teny ara-barotra, izay mifototra amin'ny fianarana milina, ny dikan-teny maimaim-poana dia mamakafaka ny fangatahana amin'ny alΓ lan'ny fomba sonia fotsiny.
Endri-javatra amin'ny famoahana ny Nemesida WAF 4.0.129
Talohan'ny famoahana amin'izao fotoana izao, ny maody dynamique Nemesida WAF dia tsy nanohana afa-tsy Nginx Stable 1.12, 1.14 ary 1.16. Ny famoahana vaovao dia manampy fanohanana ny Nginx Mainline, manomboka amin'ny 1.17, ary Nginx Plus, manomboka amin'ny 1.15.10 (R18).
Nahoana no manao WAF hafa?
NAXSI sy mod_security angamba no maodely WAF maimaim-poana malaza indrindra, ary ny mod_security dia mandrisika ny Nginx, na dia tao amin'ny Apache2 ihany aza no nampiasaina tamin'ny voalohany. Ireo vahaolana roa ireo dia malalaka, loharano misokatra ary manana mpampiasa maro manerana izao tontolo izao. Ho an'ny mod_security, misy sonia maimaim-poana sy ara-barotra azo alaina amin'ny $ 500 isan-taona, ho an'ny NAXSI dia misy sonia maimaim-poana ivelan'ny boaty, ary afaka mahita fitsipika fanampiny ianao, toy ny doxsi.
Tamin'ity taona ity dia nanandrana ny fiasan'ny NAXSI sy Nemesida WAF Free izahay. Fohy momba ny vokatra:
- NAXSI dia tsy manao decode URL roa amin'ny cookies
- Mitaky fotoana lava be ny NAXSI - raha ny default, ny firafitry ny fitsipika default dia hanakana ny ankamaroan'ny fangatahana rehefa miasa amin'ny rindranasa tranonkala (fanomezana alalana, fanovana mombamomba na fitaovana, fandraisana anjara amin'ny fanadihadiana, sns.) ary ilaina ny mamorona lisitra miavaka. , izay misy fiantraikany ratsy amin'ny fiarovana. Nemesida WAF Free miaraka amin'ny firafitry ny default dia tsy nanao valiny diso na dia iray aza raha niasa tamin'ny tranokala.
- ny isan'ny fanafihana tsy hita ho an'ny NAXSI dia avo be, sns.
Na dia eo aza ny tsy fahampiana, NAXSI sy mod_security dia manana tombony roa farafahakeliny - loharano misokatra sy mpampiasa marobe. Manohana ny hevitra hamoahana ny kaody loharano izahay, saingy mbola tsy afaka manao izany izahay noho ny olana mety hitranga amin'ny "piraty" amin'ny dikan-teny ara-barotra, fa mba hanonerana an'io lesoka io, dia manambara tanteraka ny votoatin'ny sonia izahay. Manome lanja ny fiainana manokana izahay ary manoro hevitra anao hanamarina izany ny tenanao amin'ny fampiasana mpizara proxy.
Toetran'ny Nemesida WAF Free:
- angon-drakitra sonia avo lenta miaraka amin'ny isa kely indrindra False Positive sy False Negative.
- fametrahana sy fanavaozana avy amin'ny tahiry (faingana sy mety);
- trangan-javatra tsotra sy azo takarina momba ny zava-nitranga, fa tsy "korontana" toy ny NAXSI;
- maimaim-poana tanteraka, tsy misy famerana ny habetsaky ny fifamoivoizana, mpampiantrano virtoaly, sns.
Ho famaranana, hanome fanontaniana maromaro aho hanombanana ny fahombiazan'ny WAF (azo ampiasaina amin'ny faritra tsirairay: URL, ARGS, Lohateny & Vatana):
')) un","ion se","lect 1,2,3,4,5,6,7,8,9,0,11#"]
')) union/**/select/**/1,/**/2,/**/3,/**/4,/**/5,/**/6,/**/7,/**/8,/**/9,/**/'some_text',/**/11#"]
union(select(1),2,3,4,5,6,7,8,9,0x70656e746573746974,11)#"]
')) union+/*!select*/ (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"]
')) /*!u%6eion*/ /*!se%6cect*/ (1),(2),(3),(4),(5),(6),(7),(8),(9.),(0x70656e746573746974),(11)#"]
')) %2f**%2funion%2f**%2fselect (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"]
%5B%221807182982%27%29%29%20uni%22%2C%22on
%20sel%22%2C%22ect%201%2C2%2C3%2C4%2C5%2C6%2C7%2C8%2C9%2C%2some_text%27%2C11%23%22%5D
cat /et?/pa?swd
cat /et'c/pa'ss'wd
cat /et*/pa**wd
e'c'ho 'swd test pentest' |awk '{print "cat /etc/pas"$1}' |bas'h
cat /etc/passwd
cat$u+/etc$u/passwd$u
<svg/onload=alert()//
Raha tsy voasakana ny fangatahana, dia azo inoana fa tsy hahita ny tena fanafihana ny WAF. Alohan'ny hampiasana ireo ohatra dia ataovy izay hahazoana antoka fa tsy manakana ny fangatahana ara-dalΓ na ny WAF.
Source: www.habr.com