Web应用防护系统（也称：网站应用级入侵防御系统。英文：Web Application Firewall，简称： WAF）。利用国际上公认的一种说法：Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。本文介绍了常见的WAF指纹识别的一些技术，详见如下：

WAF指纹

Cookie值

Citrix Netscaler

“Citrix Netscaler”会在HTTP返回头部Cookie位置加入“ns_af”的值，可以以此判断为Citrix Netscaler的WAF，国内此类WAF很少（这货居然是searchsecurity认定的2013最好的防火墙）。

一个恶意的请求示例：

 GET / HTTP/1.1

 Host: target.com

 User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:25.0) Gecko/20100101 Firefox/25.0

 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

 Accept-Language: en-US,en;q=0.5

 Accept-Encoding: gzip, deflate

 Cookie: ASPSESSIONIDAQQSDCSC=HGJHINLDNMNFHABGPPBNGFKC; ns_af=31+LrS3EeEOBbxBV7AWDFIEhrn8A000;ns_af_.target.br_%2F_wat=QVNQU0VTU0lPTklEQVFRU0RDU0Nf?6IgJizHRbTRNuNoOpbBOiKRET2gA&

 Connection: keep-alive

 Cache-Control: max-age=0

F5 BIG IP ASM

 F5 BiG IP ASM会在Cookie中加入“TS+随机字符串”的Cookie信息，一个非恶意的请求如下：

 GET / HTTP/1.1

 Host: www.target.com

 User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:25.0) Gecko/20100101 Firefox/25.0

 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

 Accept-Language: en-US,en;q=0.5

 Accept-Encoding: gzip, deflate

 Cookie: target_cem_tl=40FC2190D3B2D4E60AB22C0F9EF155D5; s_fid=77F8544DA30373AC-31AE8C79E13D7394; s_vnum=1388516400627%26vn%3D1; s_nr=1385938565978-New; s_nr2=1385938565979-New; s_lv=1385938565980; s_vi=[CS]v1|294DCEC0051D2761-40000143E003E9DC[CE]; fe_typo_user=7a64cc46ca253f9889675f9b9b79eb66; TSe3b54b=36f2896d9de8a61cf27aea24f35f8ee1abd1a43de557a25c529fe828; TS65374d=041365b3e678cba0e338668580430c26abd1a43de557a25c529fe8285a5ab5a8e5d0f299

 Connection: keep-alive

 Cache-Control: max-age=0

HTTP响应

Mod_Security

Mod_Security是为Apache设计的开源Web防护模块，一个恶意的请求Mod_Security会在响应头返回“406 Not acceptable”的信息。

 请求：

 GET /<script>alert(1);</script>HTTP/1.1

 Host: www.target.com

 User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:25.0) Gecko/20100101 Firefox/25.0

 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

 Accept-Language: en-US,en;q=0.5

 Accept-Encoding: gzip, deflate

 Connection: keep-alive

 响应：

 HTTP/1.1 406 Not Acceptable

 Date: Thu, 05 Dec 2013 03:33:03 GMT

 Server: Apache

 Content-Length: 226

 Keep-Alive: timeout=10, max=30

 Connection: Keep-Alive

 Content-Type: text/html; charset=iso-8859-1

 <head><title>Not Acceptable!</title></head><body><h1>Not Acceptable!</h1><p>An appropriate representation of the requested resource could not be found on this server. This error was generated by Mod_Security.</p></body></html>

WebKnight

WebKnight是用来设计在IIS下面使用的WAF设备，较为常见。WebKnight会对恶意的请求返回“999 No Hacking”的信息。

 请求：

 GET /?PageID=99<script>alert(1);</script>HTTP/1.1

 Host: www.aqtronix.com

 User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:25.0) Gecko/20100101 Firefox/25.0

 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

 Accept-Language: en-US,en;q=0.5

 Accept-Encoding: gzip, deflate

 Connection: keep-alive

 响应：

 HTTP/1.1 999 No Hacking

 Server: WWW Server/1.1

 Date: Thu, 05 Dec 2013 03:14:23 GMT

 Content-Type: text/html; charset=windows-1252

 Content-Length: 1160

 Pragma: no-cache

 Cache-control: no-cache

 Expires: Thu, 05 Dec 2013 03:14:23 GMT

F5 BIG IP

F5 BIG IP会对恶意请求返回“419 Unknown”的信息，如下：

 GET /<script> HTTP/1.0

 HTTP/1.1 419 Unknown

 Cache-Control: no-cache

 Content-Type: text/html; charset=iso-8859-15

 Pragma: no-cache

 Content-Length: 8140

 Date: Mon, 25 Nov 2013 15:22:44 GMT

 Connection: keep-alive

 Vary: Accept-Encoding

dotDefender

dotDefender用来防护.net的程序，也比较出名，会对恶意请求返回“dotDefender Blocked Your Request”的信息。

请求：

 GET /---HTTP/1.1

 Host: www.acc.com

 User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:25.0) Gecko/20100101 Firefox/25.0

 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

 Accept-Language: en-US,en;q=0.5

 Accept-Encoding: gzip, deflate

 Connection: keep-alive

 Cache-Control: max-age=0

响应：

 HTTP/1.1 200 OK

 Cache-Control: no-cache

 Content-Type: text/html

 Vary: Accept-Encoding

 Server: Microsoft-IIS/7.5

 X-Powered-By: ASP.NET

 Date: Thu, 05 Dec 2013 03:40:14 GMT

 Content-Length: 2616

 <!DOCTYPE HTML PUBLIC "-//W3C//DTD XHTML 1.0 Frameset//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-frameset.dtd">

 <html xmlns="http://www.w3.org/1999/xhtml">

 <head>

 <title>dotDefender Blocked Your Request</title>

 ……

特定资源文件

部分特定WAF在返回的告警页面含特定的CSS或者JS文件，可以作为判断的依据，这类情况在WAF类里比较少，实际也可以归并到HTTP响应中。

看2个样例：

 <html><center><iframe width="100%" align="center" height="870" frameborder="0" scrolling="no" src="http://safe.webscan.360.cn/stopattack.html"></iframe></center>  </body>  </html>

 HTTP/1.1 405 Not Allowed

 Server: ASERVER/1.2.9-3

 Date: Fri, 27 Dec 2013 14:15:14 GMT

 Content-Type: text/html

 Connection: keep-alive

 X-Powered-By-Anquanbao: MISS from uni-tj-ky-sb3

 Content-Length: 7188

 <div class="wrapper">

 <div class="titlelogo"></div>

 <div class="err_tips">由于您访问的URL有可能对网站造成安全威胁，您的访问被阻断。</div>

 <div class="feedback">

 <form action="http://report.anquanbao.com/api.php" method="post">

 <input type="hidden" name="black_code" value="" class="hidden_rule_id" />

 <input type="hidden" name="deny_time" value="" class="hidden_intercept_time" />

 <input type="hidden" name="server_id" value="" class="hidden_server_title" />

 <input type="hidden" name="deny_url" value="" class="deny_url" />

 <input type="submit" class="submit_img" value="" />

 </form>

 </div>

 <a href="javascript:;">站长点击查看详情</a>

 <a href="javascript:;">站长点击查看详情</a>

 规则ID:10384

 拦截时间：2013/12/27 22:15:14

 ServerName：uni-tj-ky-sb3/1.2.9-3

WAF识别工具

一些WAF可以自定义返回的消息内容，或者全部返回自定义的404页面或200页面，有一些工具会协助作为WAF设备的识别。

Wafw00f

用python编写的一个小工具，开源地址：

http://code.google.com/p/waffit/source/browse/trunk/wafw00f.py

Wafw00f用来判断WAF设备的函数如下：

AdminFolder = '/Admin_Files/'
xssstring = '<script>alert(1)</script>'

dirtravstring = '../../../../etc/passwd'

cleanhtmlstring = '<invalid>hello'

isaservermatch = 'Forbidden ( The server denied the specified Uniform Resource Locator (URL). Contact the server administrator.  )'
使用“python wafw00f.py -h”可以查看工具的使用方法，运行示例：
python wafw00f.py http://www.91ri.org/

基于Cookie的检测

Wafw00f的探测大部分是基于Cookie的检测。

F5asm的检测规则如下：

 def isf5asm(self):

         # credit goes to W3AF

         return self.matchcookie('^TS[a-zA-Z0-9]{3,6}=')

基于响应头的检测

Profense在响应头会包含’server’,'profense’的信息。

 def isprofense(self):

     """

     Checks for server headers containing "profense"

     """

     return self.matchheader(('server','profense'))

sqlmap

Sqlmap是一款检测和利用SQLi漏洞工具，也是基于python编写，业内认同率较高，sqlmap用来探测WAF类型想比较Wafw00f来说还多一些。

参考：

https://github.com/sqlmapproject/sqlmap/tree/master/waf

Sqlmap用来探测每种WAF设备都是一个python文件，同样是从cookie信息或者返回头信息进行判断。

以Mod_Security为例

 #!/usr/bin/env python

 """

 Copyright (c) 2006-2013 sqlmap developers (http://sqlmap.org/)

 See the file 'doc/COPYING' for copying permission

 """

 import re

 from lib.core.enums import HTTP_HEADER

 from lib.core.settings import WAF_ATTACK_VECTORS

 __product__ = "ModSecurity: Open Source Web Application Firewall (Trustwave)"

 def detect(get_page):

     retval = False

     for vector in WAF_ATTACK_VECTORS:

         page, headers, code = get_page(get=vector)

         retval = code == 501 and re.search(r"Reference #[0-9A-Fa-f.]+", page, re.I) is None

         retval |= re.search(r"Mod_Security|NOYB", headers.get(HTTP_HEADER.SERVER, ""), re.I) is not None

         if retval:

             break

     return retval

Sqlmap用来探测WAF的命令如下：

python sqlmap.py -u “http://www.victim.org/ex.php?id=1” --identify-waf

貌似必须是或自己修改的类似动态参数才能使用。

xenoitx

检测和利用XSS漏洞的神器，WAF检测也是其中的功能之一。

[via@freebuf]

转载请注明：404‘s blog http://www.cnblogs.com/im404/p/3506186.html

WAF指纹探测及识别技术的更多相关文章

  1. WAF指纹探测及识别技术<freebuf>

    Web应用防护系统(也称:网站应用级入侵防御系统.英文:Web Application Firewall,简称: WAF).利用国际上公认的一种说法:Web应用防火墙是通过执行一系列针对HTTP/HT ...

  2. Web安全--XSS现代WAF规则探测及绕过技术

    XSS现代WAF规则探测及绕过技术初始测试 1.使用无害的payload,类似<b>,<i>,<u>观察响应,判断应用程序是否被HTML编码,是否标签被过滤,是否过 ...

  3. 【PyHacker】编写WAF指纹探测与Sqlmap相结合

    使用Python编写探测WAF指纹脚本,再结合到Sqlmap中,这样以后再探测网站时,如果识别到此WAF指纹,就会显示出来.本文属于巡安似海PyHacker系列课程   编写探测识别WAF脚本 00x ...

  4. [转]XSS现代WAF规则探测及绕过技术

    初始测试 1.使用无害的payload,类似<b>,<i>,<u>观察响应,判断应用程序是否被HTML编码,是否标签被过滤,是否过滤<>等等: 2.如果 ...

  5. 基于HTML Canvas实现“指纹识别”技术

    https://browserleaks.com/canvas 说明所谓指纹识别是指为每个设备标识唯一标识符(以下简称UUID).诸如移动原生的APP都可以通过调用相关设备API来获取相应的UUID. ...

  6. Kinect视频中运用全身运动和人体测量统计学的人物识别技术

    摘要: 对于人物识别技术来说,动作和人体测量统计学对于光学差异并不敏感,甚至对于眼镜,头发,帽子的描述相当粗糙,现在的以步态为基础的识别技术都是基于对细节的精确描述和对步态周期的精确测量.这种方法需要 ...

  7. 3D动态人脸识别技术分析——世纪晟人脸识别实现三维人脸建模

    - 目录 - 国内3D动态人脸识别现状概况 - 新形势下人脸识别技术发展潜力 - 基于深度学习的3D动态人脸识别技术分析 1. 非线性数据建模方法 2. 基于3D变形模型的人脸建模 - 案例结合——世 ...

  8. uu云验证码识别平台,验证码,验证码识别,全自动验证码识别技术,优优云全自动打码,代答题系统,优优云远程打码平台,uu云打码

    uu云验证码识别平台,验证码,验证码识别,全自动验证码识别技术,优优云全自动打码,代答题系统,优优云远程打码平台,uu云打码 优优云验证码识别答题平台介绍 优优云|UU云(中国公司)是全球唯一领先的智 ...

  9. 汽车Vin码识别——可以嵌入到手机里的新OCR识别技术

              汽车Vin码识别(车架号识别),顾名思义,就是识别汽车的Vin码(车架号),汽车Vin码识别(车架号识别)利用的是OCR识别技术,支持视频流获取图像,自动触发识别,另外汽车Vin码 ...

随机推荐

  1. fuse on TDH4.8

    一.安装依赖包 yum install autoconf.noarch yum install automake yum install libtool* yum install m4 yum ins ...

  2. [CTSC2008] 网络管理

    题目描述 Description M公司是一个非常庞大的跨国公司,在许多国家都设有它的下属分支机构或部门.为了让分布在世界各地的N个部门之间协同工作,公司搭建了一个连接整个公司的通信网络.该网络的结构 ...

  3. cin 字符串输入

    cin 字符串输入 在学习c的时候,关于字符串的输入,记得有 scanf("%s",s); gets(s); 还有...o.o 好想没了... scanf("%s&quo ...

  4. Hush Framework框架配置

    在写这篇文章的时候,楼主已经饿的不行了,因为我从3点开始就在折腾Hush Framework,走了很多弯路,打铁要趁热,先把基本的过程记录下来,留待以后翻阅,同时记录其中容易走弯路的地方,特别是对于一 ...

  5. jenkins 用户名密码忘记

    进入c盘--用户 在本地用户的目录下找到.jenkins目录,里面有一个config.xml; 打开后,删除其中的 " <useSecurity>true</useSecu ...

  6. 前端 tips

    1.==和!=操作符会在需要的情况下自动转换数据类型.但===和!==不会,它们会同时比较值和数据类型,这也使得它们要比==和!=快. 2.首次为变量赋值时务必使用var关键字,变量没有声明而直接赋值 ...

  7. hdu1198 Farm Irrigation 并查集

    题目链接:http://acm.hdu.edu.cn/showproblem.php?pid=1198 简单并查集 分别合并竖直方向和水平方向即可 代码: #include<iostream&g ...

  8. hdu 4552 怪盗基德的挑战书

    题目链接:http://acm.hdu.edu.cn/showproblem.php?pid=4552 思路: 其实可以用KMP+DP解决 我这里给出后缀数组的解题方法 思路: 初始化ans=n(n为 ...

  9. SharePoint Application Page启用匿名访问

    现在的项目需要使用sharepoint application page来展示图片影像,并让其它应用系统匿名访问,经过一番认真研究,主要有下面的步骤: 1. 在web applicaiton leve ...

  10. 精益IT组织与分享式领导

    精益IT组织       未来的组织将专注于同行业的产品或业务流--其他的一切,包括专家和管理者在内,都是为了让一线工作人员可以第一时间就做好,而又不会遇到任何麻烦.最大的制约不是技术:真正的挑战是变 ...