Förra Ă„ret slĂ€ppte vi Nemesida WAF Free â en dynamisk modul för NGINX som blockerar attacker mot webbapplikationer. Till skillnad frĂ„n den kommersiella versionen, som baseras pĂ„ maskininlĂ€rning, analyserar den kostnadsfria versionen förfrĂ„gningar endast med hjĂ€lp av signaturmetoden.
Funktioner i versionen Nemesida WAF 4.0.129
I den aktuella versionen stödde den dynamiska modulen Nemesida WAF endast Nginx Stable 1.12, 1.14 och 1.16. I den nya versionen har stöd för Nginx Mainline lagts till, med början frÄn 1.17, och Nginx Plus, med början frÄn 1.15.10 (R18).
Varför skapa en till WAF?
NAXSI och mod_security Ă€r förmodligen de mest populĂ€ra gratis WAF-modulerna, dĂ€r mod_security aktivt frĂ€mjas av Nginx, Ă€ven om den ursprungligen endast anvĂ€ndes i Apache2. BĂ„da lösningarna Ă€r gratis, har öppen kĂ€llkod och mĂ„nga anvĂ€ndare över hela vĂ€rlden. För mod_security finns det bĂ„de gratis och kommersiella set med signaturer, för $500 per Ă„r, för NAXSI â ett gratis set med signaturer 'out of the box', och man kan Ă€ven hitta ytterligare regeluppsĂ€ttningar som doxsi.
I Är genomförde vi tester av NAXSI och Nemesida WAF Free. Kort om resultaten:
- NAXSI utför inte dubbel URL-dekoding i cookies.
- NAXSI tar mycket lĂ„ng tid att konfigurera â standardinstĂ€llningarna för regler kommer att blockera större delen av förfrĂ„gningarna vid arbete med webbapplikationen (inloggning, redigering av profil eller material, deltagande i omröstningar etc.) och man behöver generera undantagslistor, vilket pĂ„verkar sĂ€kerheten negativt. Nemesida WAF Free gav inga falska larm under processen med webbplatsen med standardinstĂ€llningarna.
- antalet blockerade attacker hos NAXSI Àr flera gÄnger högre, osv.
Trots bristerna har NAXSI och mod_security Ă„tminstone tvĂ„ fördelar â öppen kĂ€llkod och mĂ„nga anvĂ€ndare. Vi stöder idĂ©n om öppen kĂ€llkod, men kan Ă€nnu inte göra det pĂ„ grund av potentiella problem med 'piratkopiering' av den kommersiella versionen; för att kompensera för denna nackdel â avslöjar vi helt innehĂ„llet i signaturuppsĂ€ttningen. Vi vĂ€rdesĂ€tter sekretess och erbjuder att ni kan övertyga er sjĂ€lva om detta med hjĂ€lp av proxy-servern.
Egenskaper hos Nemesida WAF Free:
- en högkvalitativ signaturdatabas med ett minimum av falska positiva och falska negativa resultat.
- installation och uppdatering frÄn förrÄdet (detta Àr snabbt och bekvÀmt);
- enkla och tydliga hÀndelser om incidenter, snarare Àn 'röran' som hos NAXSI;
- helt gratis, utan begrÀnsningar för trafikmÀngd, virtuella vÀrdar osv.
Avslutningsvis kommer jag att ge nÄgra förfrÄgningar för att utvÀrdera WAF:s arbete (det rekommenderas att anvÀnda i varje zon: URL, ARGS, Headers & Body):
')) un","ion se","lect 1,2,3,4,5,6,7,8,9,0,11#"]
')) union/**/select/**/1,/**/2,/**/3,/**/4,/**/5,/**/6,/**/7,/**/8,/**/9,/**/'some_text',/**/11#"]
union(select(1),2,3,4,5,6,7,8,9,0x70656e746573746974,11)#"]
')) union+ ist select* / (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"]
')) /*!uion* / /*!seect* / (1),(2),(3),(4),(5),(6),(7),(8),(9.),(0x70656e746573746974),(11)#"]
')) **union**select (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"]
1807182982union
select123456789%2some_text11
cat /et?/?pa?swd
cat /et'c/pas's'wd
cat /et*/pa**wd
e'c'ho 'swd test pentest' |awk '{print "cat /etc/pas"$1}' |bas'h
cat /etc/passwd
cat$u+/etc$u/passwd$u
<svg/onload=alert()//
Om förfrĂ„gningarna inte blockeras â Ă€r det troligt att WAF ocksĂ„ slĂ€pper en riktig attack. Innan du anvĂ€nder exemplen, se till att WAF inte blockerar legitima förfrĂ„gningar.
KĂ€lla: habr.com
