WAFW00F waf识别工具 源码学习

我实习工作的第一个任务根据已有的java waf识别工具 实现了一个python的waf识别工具
代码结构非常乱 仅仅达到了能用的水平。
顶头svp推荐这个项目当时我已经写好了开始用了自己的
稍微看了一个这个项目其实之前我就用过指纹库比较老了可能都需要自己来收集
我自己实现的识别工具都是 正则 该工具使用了py程序作为动态加载的插件库
从公司返校一直打算 研究一下这个源码 一直咯咯咯到现在

Github:https://github.com/EnableSecurity/wafw00f

wafw00f是个通过http返回报文来判断waf的识别工具,他发送一个普通的HTTP 请求并分析响应如果不成功，它会发送一些（可能是恶意的）HTTP 请求并使用简单的逻辑来推断它是哪个 WAF，如果这也不成功，它会分析先前返回的响应，并使用另一种简单的算法来猜测 WAF 或安全解决方案是否正在积极响应我们的攻击。

依赖库

1.https://github.com/psf/requests

• 最流行的http请求库不用说了

2.https://github.com/mitsuhiko/pluginbase

• 一个简单但灵活的 Python 插件系统。用来动态加载第三方插件
• 在pocsuite3中也实现了一个类似的插件库 https://github.com/knownsec/pocsuite3/blob/5a82de0a4dab7bc309a95f5fb2a147f41d057de9/pocsuite3/lib/core/register.py 可以通过GitHub远程加载插件 看了一下没太看懂

WAFW00F

在实习工作里我也实现了一个类似的工具,主要通过正则来识别 。也碰到了一些问题比如多条正则每次匹配一条所需要的时间特别长我通过 将所有正则进行联用初筛如果发现命中了某条规则再用折半查找来匹配到具体的规则,还发现了一种通过cname来识别云防御的方案不需要攻击行为，甚至不需要进行http请求只需要dns 查询即可。
关于waf00f我们主要关注

• 动态加载插件
• 判断waf存在
• 插件(识别规则)

目录结构

├── __init__.py
├── bin
│   └── wafw00f
├── lib
│   ├── __init__.py
│   ├── asciiarts.py  # banner logo等
│   └── evillib.py      # http请求构造发起等
├── main.py  #主程序
├── manager.py #加载插件
├── plugins #规则库插件目录
└── wafprio.py #优先级检查列表

静态配置

    # payload
    xsstring = ''
    sqlistring = "UNION SELECT ALL FROM information_schema AND ' or SLEEP(5) or '"
    lfistring = '../../../../etc/passwd'
    rcestring = '/bin/cat /etc/passwd; ping 127.0.0.1; curl google.com'
    xxestring = ']>&hack;'
    
    # headers
    def_headers = {'Accept'         : 'text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3',
                   'Accept-Encoding': 'gzip, deflate',
                   'Accept-Language': 'en-US,en;q=0.9',
                   'DNT'            : '1',  # Do Not Track request header 要求服务器程序不要跟踪记录用户信息
                   'User-Agent'     : 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/78.0.3770.100 Safari/537.36',
                   'Upgrade-Insecure-Requests': '1' #
            }

插件规则

也是通过正则进行匹配 通过any()或者all()进行规则匹配并命中
这里self.matchCookie self.matchHeader 默认是不进行攻击

#!/usr/bin/env python
'''
Copyright (C) 2020, WAFW00F Developers.
See the LICENSE file for copying permission.
'''

NAME = 'DenyALL (Rohde & Schwarz CyberSecurity)'


def is_waf(self):
    schemes = [
        self.matchStatus(200),
        self.matchReason('Condition Intercepted')
        self.matchHeader(('cf-ray', r'.+?')),
        self.matchCookie(r'^crawlprotecttag='),
        self.matchContent(r'