waf规则的自动探测与发现技术研究

《waf规则的自动探测与发现技术研究》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、WAF规则的自动探测与发现技术研究张琦翟健宏哈尔滨工业大学计算机科学与技术学院木文设计了一款自动探测WAF规则的工具，在输入了网址和目标参数后能够自动探测其WAF的规则。工具主要分为三大模块:网站过滤检测模块、攻击向量生成模块、过滤规则生成模块。其屮增加了正则表达式匹配功能，使用最小元素优先检测法以及二分法提升了程序运行的效率;使用多线程有效地缓解了网络延迟带来的探测速度慢的问题。工具中设计了良好的攻击向量库能够使探测更为高效和精准，同时这个库也是开放可随时增加的。关键词：WAF规则;自动探测;Web安全;ResearchofWAFrulesautodetectionZHANGQi皿I

2、JianhongSchoolofComputerScienceandTechnology，HarbinInstituteofTechnology;Abstract：Thispaperdesignsatool,thatisabletoauto-detectWAF(WebApplicationFirewall)rules.ThetoolcouldgettheWAFrulesaftertheuseroffersthewebsiteandthetargetparameter.Thetoolisdividedintothreemodules:WAFDiscoveryModule,Payloads

3、SendingModule,RulesRetrievalModule.Thetooladdsregularexpressionmatchingfunction.Anditusesshortestelementdetectedfirststrategyanddichotomytoimprovetheperformance.Thispaperusesmultithreadingandalleviatesthenetworkdelayproblem.Meanwhile,thepaperalsodesignesthegoodpayloaddatabases.Itcouldmakethedete

4、ctionmoreeffectiveandaccurate.Thepayloaddatabasescouldalwaysbeinsertedwithnewitems.Keyword：WAFrules;autodetection;Webapplicationsecurity;0引言随着IT技术的不断发展和进步，互联网已经走进了千家万户，成为人们生活中必不可少的一部分。截至2015年12月底，国内网站数量已达426.7万个U1。在网站数量不断增长的同时，网络安全态势也逐渐变得十分严峻。根据360互联网安全屮心与2017年2月12口发布的《2016年屮国互联网安全报告》，国闪扫描出的存在漏洞

5、的网站己达91.7万个，占网站数量的21.4%，其中存在高危漏洞的网站有14.0万个，占网站数量的3.3%。保护网站应用的安全，是每一家互联网企业和其他网站建设机构不可推卸的首要任务与基础职责。一般的网络防火墙能够对服务器进行一定的防护，但是却并不擅长应用层面的安全防护。由此，网站应用防火墙(WAF,WebApplicationFirewall),则应运而生。WAF的主要功能是保护Web应用不受到恶意攻击，并通过对网站的请求和响应开展高效的分析和统计，能够对网站攻击事件提供及时的报警、甚至停止响应，以保护网站服务器的安全。大部分的waf通过对请求或者响应内容进行特征匹配m，如果在请求中

6、匹配到恶意字符串或者在响应屮匹配到敏感信息，则视此次请求为非法请求，可以停止响应，实现服务器的保护功能。优秀的WAF产品能够设计出良好的特征库，检测出大部分的恶意攻击；同时也能够拥有较低的误报率，保证网站的正常功能需求。因此，本文研究设计了一款WAF规则自动发现的脚本应用，能够探测出网站配置的WAF规则以及没有配置的规则，从而可以有针对性地优化网站WAF的配置，捉升自我安全防护。1WAF规则的自动探测设计1.1WAF的表现形式既然要探测WAF规则配罝，就需要知道WAF的一般响应形式。研究中人工收集了54个网站的WAF响应，大致可分为4类，对其内容阐释如下：1）HTTP响应码不是200（

7、19/54）。正常的HTTP请求响应码是200£边，通常引发了WAF禁止的请求响应码就会变成403Forbidden、302跳转、501服务器错误、404NotFound等等异常响应码，实例之一即如图1所示。这在本次样本中共占19个。2）明显的WAF提示（16/54）。除了一些异常响应码，还会有很多网站会展现与正常响应截然不同的响应内容，是比较明显的WAF提示，示意则如图2所示。这在本次样本中共占16个。3）停止响应（14/54）。很多网站在认