NGINX ਲਈ Nemesida WAF ਮੁਫ਼ਤ ਦਾ ਨਵਾਂ ਬਿਲਡ

ਪਿਛਲੇ ਸਾਲ ਅਸੀਂ Nemesida WAF Free, NGINX ਲਈ ਇੱਕ ਗਤੀਸ਼ੀਲ ਮੋਡੀਊਲ ਜਾਰੀ ਕੀਤਾ ਜੋ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ 'ਤੇ ਹਮਲਿਆਂ ਨੂੰ ਰੋਕਦਾ ਹੈ। ਵਪਾਰਕ ਸੰਸਕਰਣ ਦੇ ਉਲਟ, ਜੋ ਕਿ ਮਸ਼ੀਨ ਸਿਖਲਾਈ 'ਤੇ ਅਧਾਰਤ ਹੈ, ਮੁਫਤ ਸੰਸਕਰਣ ਸਿਰਫ ਦਸਤਖਤ ਵਿਧੀ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਬੇਨਤੀਆਂ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਦਾ ਹੈ।

Nemesida WAF 4.0.129 ਦੇ ਰੀਲੀਜ਼ ਦੀਆਂ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ

ਮੌਜੂਦਾ ਰੀਲੀਜ਼ ਤੋਂ ਪਹਿਲਾਂ, Nemesida WAF ਡਾਇਨਾਮਿਕ ਮੋਡੀਊਲ ਸਿਰਫ਼ Nginx ਸਟੇਬਲ 1.12, 1.14 ਅਤੇ 1.16 ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਸੀ। ਨਵੀਂ ਰੀਲੀਜ਼ Nginx ਮੇਨਲਾਈਨ ਲਈ ਸਮਰਥਨ ਜੋੜਦੀ ਹੈ, 1.17 ਤੋਂ ਸ਼ੁਰੂ ਹੁੰਦੀ ਹੈ, ਅਤੇ Nginx Plus, 1.15.10 (R18) ਤੋਂ ਸ਼ੁਰੂ ਹੁੰਦੀ ਹੈ।

ਇੱਕ ਹੋਰ WAF ਕਿਉਂ ਬਣਾਓ?

NAXSI ਅਤੇ mod_security ਸੰਭਵ ਤੌਰ 'ਤੇ ਸਭ ਤੋਂ ਪ੍ਰਸਿੱਧ ਮੁਫਤ WAF ਮੋਡੀਊਲ ਹਨ, ਅਤੇ mod_security ਨੂੰ Nginx ਦੁਆਰਾ ਸਰਗਰਮੀ ਨਾਲ ਉਤਸ਼ਾਹਿਤ ਕੀਤਾ ਗਿਆ ਹੈ, ਹਾਲਾਂਕਿ ਸ਼ੁਰੂ ਵਿੱਚ ਇਹ ਸਿਰਫ Apache2 ਵਿੱਚ ਵਰਤਿਆ ਗਿਆ ਸੀ। ਦੋਵੇਂ ਹੱਲ ਮੁਫਤ, ਓਪਨ ਸੋਰਸ ਹਨ ਅਤੇ ਦੁਨੀਆ ਭਰ ਵਿੱਚ ਬਹੁਤ ਸਾਰੇ ਉਪਭੋਗਤਾ ਹਨ। mod_security ਲਈ, ਮੁਫਤ ਅਤੇ ਵਪਾਰਕ ਹਸਤਾਖਰ ਸੈੱਟ $500 ਪ੍ਰਤੀ ਸਾਲ ਲਈ ਉਪਲਬਧ ਹਨ, NAXSI ਲਈ ਬਾਕਸ ਦੇ ਬਾਹਰ ਦਸਤਖਤਾਂ ਦਾ ਇੱਕ ਮੁਫਤ ਸੈੱਟ ਹੈ, ਅਤੇ ਤੁਸੀਂ ਨਿਯਮਾਂ ਦੇ ਵਾਧੂ ਸੈੱਟ ਵੀ ਲੱਭ ਸਕਦੇ ਹੋ, ਜਿਵੇਂ ਕਿ doxsi।

ਇਸ ਸਾਲ ਅਸੀਂ NAXSI ਅਤੇ Nemesida WAF ਮੁਫ਼ਤ ਦੇ ਸੰਚਾਲਨ ਦੀ ਜਾਂਚ ਕੀਤੀ। ਨਤੀਜਿਆਂ ਬਾਰੇ ਸੰਖੇਪ ਵਿੱਚ:

• NAXSI ਕੂਕੀਜ਼ ਵਿੱਚ ਡਬਲ URL ਡੀਕੋਡ ਨਹੀਂ ਕਰਦਾ ਹੈ
• NAXSI ਨੂੰ ਕੌਂਫਿਗਰ ਕਰਨ ਵਿੱਚ ਬਹੁਤ ਲੰਮਾ ਸਮਾਂ ਲੱਗਦਾ ਹੈ - ਮੂਲ ਰੂਪ ਵਿੱਚ, ਡਿਫੌਲਟ ਨਿਯਮ ਸੈਟਿੰਗਾਂ ਵੈਬ ਐਪਲੀਕੇਸ਼ਨ (ਅਧਿਕਾਰੀਕਰਨ, ਪ੍ਰੋਫਾਈਲ ਜਾਂ ਸਮੱਗਰੀ ਨੂੰ ਸੰਪਾਦਿਤ ਕਰਨਾ, ਸਰਵੇਖਣਾਂ ਵਿੱਚ ਹਿੱਸਾ ਲੈਣਾ, ਆਦਿ) ਨਾਲ ਕੰਮ ਕਰਦੇ ਸਮੇਂ ਜ਼ਿਆਦਾਤਰ ਬੇਨਤੀਆਂ ਨੂੰ ਬਲੌਕ ਕਰ ਦਿੰਦੀਆਂ ਹਨ ਅਤੇ ਅਪਵਾਦ ਸੂਚੀਆਂ ਬਣਾਉਣਾ ਜ਼ਰੂਰੀ ਹੁੰਦਾ ਹੈ। ਹੈ, ਜਿਸ ਦਾ ਸੁਰੱਖਿਆ 'ਤੇ ਬੁਰਾ ਪ੍ਰਭਾਵ ਪੈਂਦਾ ਹੈ। ਡਿਫੌਲਟ ਸੈਟਿੰਗਾਂ ਦੇ ਨਾਲ Nemesida WAF Free ਨੇ ਸਾਈਟ ਨਾਲ ਕੰਮ ਕਰਦੇ ਸਮੇਂ ਇੱਕ ਵੀ ਗਲਤ ਸਕਾਰਾਤਮਕ ਪ੍ਰਦਰਸ਼ਨ ਨਹੀਂ ਕੀਤਾ।
• NAXSI ਲਈ ਖੁੰਝੇ ਹੋਏ ਹਮਲਿਆਂ ਦੀ ਗਿਣਤੀ ਕਈ ਗੁਣਾ ਵੱਧ ਹੈ, ਆਦਿ।

ਕਮੀਆਂ ਦੇ ਬਾਵਜੂਦ, NAXSI ਅਤੇ mod_security ਦੇ ਘੱਟੋ-ਘੱਟ ਦੋ ਫਾਇਦੇ ਹਨ - ਓਪਨ ਸੋਰਸ ਅਤੇ ਵੱਡੀ ਗਿਣਤੀ ਵਿੱਚ ਉਪਭੋਗਤਾ। ਅਸੀਂ ਸਰੋਤ ਕੋਡ ਦਾ ਖੁਲਾਸਾ ਕਰਨ ਦੇ ਵਿਚਾਰ ਦਾ ਸਮਰਥਨ ਕਰਦੇ ਹਾਂ, ਪਰ ਅਸੀਂ ਵਪਾਰਕ ਸੰਸਕਰਣ ਦੇ "ਪਾਇਰੇਸੀ" ਨਾਲ ਸੰਭਾਵਿਤ ਸਮੱਸਿਆਵਾਂ ਦੇ ਕਾਰਨ ਅਜੇ ਤੱਕ ਅਜਿਹਾ ਨਹੀਂ ਕਰ ਸਕਦੇ ਹਾਂ, ਪਰ ਇਸ ਕਮੀ ਦੀ ਪੂਰਤੀ ਲਈ, ਅਸੀਂ ਦਸਤਖਤ ਸੈੱਟ ਦੀਆਂ ਸਮੱਗਰੀਆਂ ਦਾ ਪੂਰੀ ਤਰ੍ਹਾਂ ਖੁਲਾਸਾ ਕਰ ਰਹੇ ਹਾਂ। ਅਸੀਂ ਗੋਪਨੀਯਤਾ ਦੀ ਕਦਰ ਕਰਦੇ ਹਾਂ ਅਤੇ ਸੁਝਾਅ ਦਿੰਦੇ ਹਾਂ ਕਿ ਤੁਸੀਂ ਪ੍ਰੌਕਸੀ ਸਰਵਰ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਇਸਦੀ ਪੁਸ਼ਟੀ ਕਰੋ।

Nemesida WAF ਮੁਫ਼ਤ ਦੀਆਂ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ:

• ਗਲਤ ਸਕਾਰਾਤਮਕ ਅਤੇ ਗਲਤ ਨਕਾਰਾਤਮਕ ਦੀ ਘੱਟੋ-ਘੱਟ ਸੰਖਿਆ ਦੇ ਨਾਲ ਉੱਚ-ਗੁਣਵੱਤਾ ਦਸਤਖਤ ਡੇਟਾਬੇਸ।
• ਰਿਪੋਜ਼ਟਰੀ ਤੋਂ ਇੰਸਟਾਲੇਸ਼ਨ ਅਤੇ ਅੱਪਡੇਟ (ਇਹ ਤੇਜ਼ ਅਤੇ ਸੁਵਿਧਾਜਨਕ ਹੈ);
• ਘਟਨਾਵਾਂ ਬਾਰੇ ਸਧਾਰਨ ਅਤੇ ਸਮਝਣਯੋਗ ਘਟਨਾਵਾਂ, ਨਾ ਕਿ NAXSI ਵਰਗੀ "ਗੰਦਗੀ";
• ਪੂਰੀ ਤਰ੍ਹਾਂ ਮੁਫਤ, ਟ੍ਰੈਫਿਕ ਦੀ ਮਾਤਰਾ, ਵਰਚੁਅਲ ਹੋਸਟਾਂ ਆਦਿ 'ਤੇ ਕੋਈ ਪਾਬੰਦੀਆਂ ਨਹੀਂ ਹਨ।

ਸਿੱਟੇ ਵਜੋਂ, ਮੈਂ WAF ਦੀ ਕਾਰਗੁਜ਼ਾਰੀ ਦਾ ਮੁਲਾਂਕਣ ਕਰਨ ਲਈ ਕਈ ਸਵਾਲਾਂ ਦੇਵਾਂਗਾ (ਇਸ ਨੂੰ ਹਰੇਕ ਜ਼ੋਨ ਵਿੱਚ ਵਰਤਣ ਦੀ ਸਿਫਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ: URL, ARGS, ਸਿਰਲੇਖ ਅਤੇ ਸਰੀਰ):

')) un","ion se","lect 1,2,3,4,5,6,7,8,9,0,11#"] ')) union/**/select/**/1,/**/2,/**/3,/**/4,/**/5,/**/6,/**/7,/**/8,/**/9,/**/'some_text',/**/11#"] union(select(1),2,3,4,5,6,7,8,9,0x70656e746573746974,11)#"] ')) union+/*!select*/ (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"] ')) /*!u%6eion*/ /*!se%6cect*/ (1),(2),(3),(4),(5),(6),(7),(8),(9.),(0x70656e746573746974),(11)#"] ')) %2f**%2funion%2f**%2fselect (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"] %5B%221807182982%27%29%29%20uni%22%2C%22on
%20sel%22%2C%22ect%201%2C2%2C3%2C4%2C5%2C6%2C7%2C8%2C9%2C%2some_text%27%2C11%23%22%5D
cat /et?/pa?swd
cat /et'c/pa'ss'wd
cat /et*/pa**wd
e'c'ho 'swd test pentest' |awk '{print "cat /etc/pas"$1}' |bas'h
cat /etc/passwd
cat$u+/etc$u/passwd$u
<svg/onload=alert()//

ਜੇਕਰ ਬੇਨਤੀਆਂ ਨੂੰ ਬਲੌਕ ਨਹੀਂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਸੰਭਾਵਤ ਤੌਰ 'ਤੇ WAF ਅਸਲ ਹਮਲੇ ਤੋਂ ਖੁੰਝ ਜਾਵੇਗਾ। ਉਦਾਹਰਣਾਂ ਦੀ ਵਰਤੋਂ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ, ਯਕੀਨੀ ਬਣਾਓ ਕਿ WAF ਜਾਇਜ਼ ਬੇਨਤੀਆਂ ਨੂੰ ਰੋਕ ਨਹੀਂ ਰਿਹਾ ਹੈ।

ਸਰੋਤ: www.habr.com