Taun ka tukang kami ngaluarkeun Nemesida WAF Free, modul dinamis pikeun NGINX anu ngahalangan serangan dina aplikasi wéb. Beda sareng versi komérsial, anu didasarkeun kana pembelajaran mesin, versi gratis nganalisa pamundut ngan ukur nganggo metode tandatangan.
Fitur sékrési Nemesida WAF 4.0.129
Sateuacan pelepasan ayeuna, modul dinamis Nemesida WAF ngan ukur ngadukung Nginx Stable 1.12, 1.14 sareng 1.16. Pelepasan énggal nambihan dukungan pikeun Nginx Mainline, mimitian ti 1.17, sareng Nginx Plus, mimitian ti 1.15.10 (R18).
Naha nyieun WAF sejen?
NAXSI sareng mod_security sigana mangrupikeun modul WAF gratis anu paling populér, sareng mod_security aktip diwanohkeun ku Nginx, sanaos mimitina ngan ukur dianggo dina Apache2. Kadua solusi gratis, open source sareng seueur pangguna di sakumna dunya. Pikeun mod_security, set signature bébas jeung komérsial sadia pikeun $ 500 per taun, keur NAXSI aya hiji set bébas tina tanda tangan out of the box, jeung anjeun ogé tiasa manggihan set tambahan aturan, kayaning doxsi.
Taun ieu kami nguji operasi NAXSI sareng Nemesida WAF Free. Sakeudeung ngeunaan hasil:
- NAXSI henteu ngalakukeun decode URL ganda dina cookies
- NAXSI butuh waktu anu lila pisan pikeun ngonpigurasikeun - sacara standar, setélan aturan standar bakal meungpeuk sabagéan ageung pamundut nalika damel sareng aplikasi wéb (otorisasi, ngédit profil atanapi bahan, milu dina survey, jsb.) sareng anjeun kedah ngahasilkeun daptar pengecualian , nu boga pangaruh goréng dina kaamanan. Nemesida WAF Free sareng setélan standar henteu ngalakukeun hiji positip palsu nalika damel sareng situs éta.
- jumlah serangan lasut pikeun NAXSI sababaraha kali leuwih luhur, jsb.
Sanaos kakurangan, NAXSI sareng mod_security gaduh sahenteuna dua kaunggulan - open source sareng sajumlah ageung pangguna. Kami ngadukung ideu pikeun ngungkabkeun kodeu sumber, tapi urang henteu tiasa ngalakukeun ieu kusabab kamungkinan masalah "pembajakan" versi komérsial, tapi pikeun ngimbangan kakurangan ieu, kami pinuh ngungkabkeun eusi set tandatangan. Kami ngahargaan privasi sareng nyarankeun anjeun pariksa ieu sorangan nganggo server proxy.
Keunggulan Nemesida WAF Free:
- database signature kualitas luhur kalawan jumlah minimum Palsu Positif jeung Palsu Negatip.
- instalasi tur update ti gudang (éta gancang tur merenah);
- acara basajan tur kaharti ngeunaan insiden, sarta lain "kacau" kawas NAXSI;
- sagemblengna bebas , teu boga larangan dina jumlah lalulintas, host virtual, jsb.
Dina kacindekan, kuring bakal masihan sababaraha patarosan pikeun ngira-ngira kinerja WAF (disarankeun ngagunakeunana dina unggal zona: URL, ARGS, Headers & Body):
')) un","ion se","lect 1,2,3,4,5,6,7,8,9,0,11#"]
')) union/**/select/**/1,/**/2,/**/3,/**/4,/**/5,/**/6,/**/7,/**/8,/**/9,/**/'some_text',/**/11#"]
union(select(1),2,3,4,5,6,7,8,9,0x70656e746573746974,11)#"]
')) union+/*!select*/ (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"]
')) /*!u%6eion*/ /*!se%6cect*/ (1),(2),(3),(4),(5),(6),(7),(8),(9.),(0x70656e746573746974),(11)#"]
')) %2f**%2funion%2f**%2fselect (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"]
%5B%221807182982%27%29%29%20uni%22%2C%22on
%20sel%22%2C%22ect%201%2C2%2C3%2C4%2C5%2C6%2C7%2C8%2C9%2C%2some_text%27%2C11%23%22%5D
cat /et?/pa?swd
cat /et'c/pa'ss'wd
cat /et*/pa**wd
e'c'ho 'swd test pentest' |awk '{print "cat /etc/pas"$1}' |bas'h
cat /etc/passwd
cat$u+/etc$u/passwd$u
<svg/onload=alert()//
Lamun requests teu diblokir, mangka paling dipikaresep WAF bakal sono serangan nyata. Sateuacan nganggo conto, pastikeun yén WAF henteu ngahalangan pamundut anu sah.
sumber: www.habr.com