什么是WAF

定义

Web Application Firewall --- Web 应用防火墙
过滤HTTP或者HTTPS的请求，识别并拦截恶意的请求

类型

硬件型 WAF
云 WAF
软件型 WAF

常见WAF厂商

各种云：阿里云、腾讯云、华为云、百度云……
安全狗、宝塔、360、知道创宇、长亭、安恒…

WAF的识别思路

方法

1.额外的cookie，比如云锁
2.任何响应或请求的附加标头，比如安全宝
3.响应内容（如果被阻止请求）增加标识，比如DotDefender, Armor, Sitelock
4.响应代码（如果被阻止请求），比如WebKnight, 360 WAF

指纹库

https://github.com/CSecGroup/wafid/blob/master/finger.xml

怎么触发WAF

URL或者表单输入恶意内容

xsstring = ''
sqlistring = "UNION SELECT ALL FROM information_schema AND ' or SLEEP(5) or '"
lfistring = '../../../../etc/passwd'
rcestring = '/bin/cat /etc/passwd; ping 127.0.0.1; curl google.com'
xxestring = ']>&hack;'

WAF的识别工具

Kali自带

wafw00f https://www.12306.cn
https://github.com/EnableSecurity/wafw00f

Nmap

nmap www.12306.cn --script=http-wafdetect.nse

sqlmap

sqlmap -u "https://pinpai.smzdm.com/1773/gushi/?id=1" --identify-waf --batch

其他

https://github.com/0xInfection/Awesome-WAF