NGINX को लागी Nemesida WAF फ्री को नयाँ निर्माण

गत वर्ष हामीले Nemesida WAF Free जारी गर्‍यौं, NGINX को लागि गतिशील मोड्युल जसले वेब अनुप्रयोगहरूमा आक्रमणहरू रोक्छ। व्यावसायिक संस्करणको विपरीत, जुन मेसिन लर्निङमा आधारित हुन्छ, नि:शुल्क संस्करणले हस्ताक्षर विधि प्रयोग गरेर मात्र अनुरोधहरूको विश्लेषण गर्छ।

Nemesida WAF 4.0.129 को रिलीज को विशेषताहरु

हालको रिलीज हुनु अघि, Nemesida WAF गतिशील मोड्युलले Nginx Stable 1.12, 1.14 र 1.16 लाई मात्र समर्थन गर्‍यो। नयाँ रिलीजले Nginx Mainline को लागि समर्थन थप्छ, 1.17 बाट सुरु हुँदै, र Nginx Plus, 1.15.10 (R18) बाट सुरु हुँदै।

किन अर्को WAF बनाउने?

NAXSI र mod_security सायद सबैभन्दा लोकप्रिय नि: शुल्क WAF मोड्युलहरू हुन्, र mod_security सक्रिय रूपमा Nginx द्वारा प्रचार गरिएको छ, यद्यपि सुरुमा यो Apache2 मा मात्र प्रयोग भएको थियो। दुबै समाधानहरू नि: शुल्क, खुला स्रोत हुन् र विश्वभरि धेरै प्रयोगकर्ताहरू छन्। mod_security को लागि, नि:शुल्क र व्यावसायिक हस्ताक्षर सेटहरू प्रति वर्ष $ 500 मा उपलब्ध छन्, NAXSI को लागि त्यहाँ बक्स बाहिर हस्ताक्षरहरूको नि: शुल्क सेट छ, र तपाईंले doxsi जस्ता नियमहरूको अतिरिक्त सेटहरू पनि फेला पार्न सक्नुहुन्छ।

यो वर्ष हामीले NAXSI र Nemesida WAF को सञ्चालन नि:शुल्क परीक्षण गर्‍यौं। नतिजा बारे छोटकरीमा:

• NAXSI ले कुकीहरूमा डबल URL डिकोड गर्दैन
• NAXSI ले कन्फिगर गर्न धेरै लामो समय लिन्छ - पूर्वनिर्धारित रूपमा, पूर्वनिर्धारित नियम सेटिङहरूले वेब अनुप्रयोग (प्राधिकरण, प्रोफाइल वा सामग्री सम्पादन गर्ने, सर्वेक्षणहरूमा भाग लिने, इत्यादि) सँग काम गर्दा धेरै अनुरोधहरू रोक्नेछ र अपवाद सूचीहरू उत्पन्न गर्न आवश्यक छ। जसले सुरक्षामा नराम्रो असर पार्छ । पूर्वनिर्धारित सेटिङहरूको साथ Nemesida WAF Free ले साइटसँग काम गर्दा एकल झूटो सकारात्मक प्रदर्शन गरेन।
• NAXSI का लागि छुटेका आक्रमणहरूको संख्या धेरै गुणा बढी छ, आदि।

कमजोरीहरूको बावजुद, NAXSI र mod_security का कम्तिमा दुई फाइदाहरू छन् - खुला स्रोत र प्रयोगकर्ताहरूको ठूलो संख्या। हामी स्रोत कोड खुलासा गर्ने विचारलाई समर्थन गर्छौं, तर हामी व्यावसायिक संस्करणको "पाइरेसी" को साथ सम्भावित समस्याहरूको कारणले यो गर्न सक्दैनौं, तर यो कमीको लागि क्षतिपूर्ति गर्न, हामी हस्ताक्षर सेटको सामग्रीहरू पूर्ण रूपमा खुलासा गर्दैछौं। हामी गोपनीयतालाई महत्व दिन्छौं र प्रोक्सी सर्भर प्रयोग गरेर यसलाई आफैं प्रमाणित गर्न सुझाव दिन्छौं।

Nemesida WAF फ्री को विशेषताहरु:

• गलत सकारात्मक र गलत नकारात्मक को न्यूनतम संख्या संग उच्च गुणस्तर हस्ताक्षर डेटाबेस।
• भण्डारबाट स्थापना र अद्यावधिक (यो छिटो र सुविधाजनक छ);
• घटनाहरूको बारेमा सरल र बुझ्न योग्य घटनाहरू, र NAXSI जस्तो "गडबड" होइन;
• पूर्ण रूपमा निःशुल्क, ट्राफिकको मात्रा, भर्चुअल होस्टहरू, आदिमा कुनै प्रतिबन्ध छैन।

अन्तमा, म WAF को कार्यसम्पादन मूल्याङ्कन गर्न धेरै प्रश्नहरू दिनेछु (यसलाई प्रत्येक जोनमा प्रयोग गर्न सिफारिस गरिन्छ: URL, ARGS, हेडर र बडी):

')) un","ion se","lect 1,2,3,4,5,6,7,8,9,0,11#"] ')) union/**/select/**/1,/**/2,/**/3,/**/4,/**/5,/**/6,/**/7,/**/8,/**/9,/**/'some_text',/**/11#"] union(select(1),2,3,4,5,6,7,8,9,0x70656e746573746974,11)#"] ')) union+/*!select*/ (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"] ')) /*!u%6eion*/ /*!se%6cect*/ (1),(2),(3),(4),(5),(6),(7),(8),(9.),(0x70656e746573746974),(11)#"] ')) %2f**%2funion%2f**%2fselect (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"] %5B%221807182982%27%29%29%20uni%22%2C%22on
%20sel%22%2C%22ect%201%2C2%2C3%2C4%2C5%2C6%2C7%2C8%2C9%2C%2some_text%27%2C11%23%22%5D
cat /et?/pa?swd
cat /et'c/pa'ss'wd
cat /et*/pa**wd
e'c'ho 'swd test pentest' |awk '{print "cat /etc/pas"$1}' |bas'h
cat /etc/passwd
cat$u+/etc$u/passwd$u
<svg/onload=alert()//

यदि अनुरोधहरू अवरुद्ध गरिएको छैन भने, तब सम्भवतः WAF ले वास्तविक आक्रमणलाई गुमाउनेछ। उदाहरणहरू प्रयोग गर्नु अघि, सुनिश्चित गर्नुहोस् कि WAF ले वैध अनुरोधहरू रोकिरहेको छैन।

स्रोत: www.habr.com