Lani smo lansirali Nemesida WAF Free — dinamični modul za NGINX koji blokira napade na web aplikacije. Za razliku od komercijalne verzije koja se oslanja na mašinsko učenje, besplatna verzija analizira zahteve samo metodom potpisivanja.
Osobine izdanja Nemesida WAF 4.0.129
Do trenutnog izdanja, dinamični modul Nemesida WAF podržavao je samo Nginx Stable 1.12, 1.14 i 1.16. U novom izdanju dodata je podrška za Nginx Mainline, počevši od 1.17, kao i Nginx Plus, počevši od 1.15.10 (R18).
Zašto napraviti još jedan WAF?
NAXSI i mod_security su verovatno najpopularniji besplatni WAF moduli, pri čemu se mod_security aktivno promovira od strane Nginxa, iako se prvobitno koristio samo u Apache2. Ova rešenja su oba besplatna, imaju otvoren kod i mnogo korisnika širom sveta. Za mod_security su dostupni besplatni i komercijalni, po ceni od 500 dolara godišnje, setovi potpisa, a za NAXSI — besplatan set potpisa 'iz kutije', kao i dodatni setovi pravila poput doxsi.
Ove godine smo testirali rad NAXSI i Nemesida WAF Free. Ukratko o rezultatima:
- NAXSI ne vrši dvostruki URL-decode u kolačiću.
- NAXSI je veoma dugotrajan za podešavanje — podrazumevane postavke pravila će blokirati veliki deo zahteva prilikom rada sa web aplikacijom (autentifikacija, uređivanje profila ili materijala, učestvovanje u anketama itd.) i potrebno je generisati liste izuzetaka, što negativno utiče na bezbednost. Nemesida WAF Free, sa podrazumevanim podešavanjima, nije zabeležila nijedno lažno pozitivno tokom rada na sajtu.
- broj propuštenih napada kod NAXSI je višestruko veći itd.
I pored nedostataka, NAXSI i mod_security imaju najmanje dve prednosti — otvoren kod i veliki broj korisnika. Podržavamo ideju otkrivanja izvornog koda, ali to ne možemo da učinimo zbog mogućih problema sa 'piraterijom' komercijalne verzije, ali kako bismo nadoknadili ovaj nedostatak — potpuno otkrivamo sadržaj seta potpisa. Cenimo privatnost i nudimo vam da se uverite u to lično pomoću proksi-strežnika.
Posebna karakteristika Nemesida WAF Free:
- kvalitetna baza potpisa sa minimalnim brojem lažno pozitivnih i lažno negativnih rezultata.
- instalacija i ažuriranje iz repozitorijuma (brzo i praktično);
- jednostavni i jasni događaji o incidentima, a ne 'haos', kao kod NAXSI;
- popolnoma brezplačno, brez omejitev glede prometa, virtualnih gostiteljev itd.
Na koncu bom navedel nekaj zahtevkov za oceno delovanja WAF (priporočljivo je uporabljati v vsaki od con: URL, ARGS, Headers & Body):
')) un","ion se","lect 1,2,3,4,5,6,7,8,9,0,11#"]
')) union/**/select/**/1,/**/2,/**/3,/**/4,/**/5,/**/6,/**/7,/**/8,/**/9,/**/'some_text',/**/11#"]
union(select(1),2,3,4,5,6,7,8,9,0x70656e746573746974,11)#"]
')) union+ /*!select*/ (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"]
'') /*uion*/ /*seect*/ (1),(2),(3),(4),(5),(6),(7),(8),(9.),(0x70656e746573746974),(11)#"]
'') **union**select (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"]
1807182982union
select123456789%2some_text11
cat /et?/pa?swd
cat /et'c/pa'ss'wd
cat /et*/pa**wd
e'c'ho 'swd test pentest' |awk '{print "cat /etc/pas"$1}' |bas'h
cat /etc/passwd
cat$u+/etc$u/passwd$u
<svg/onload=alert()//
Če zahtevki ne bodo blokirani, bo verjetno WAF pustil mimo tudi resnični napad. Pred uporabo primerov se prepričajte, da WAF ne blokira legitimnih zahtevkov.
Izvor: habr.com
