网络空间安全:行业资讯、技术分享、法规研讨、趋势分析……

“游侠安全网”创建了网络安全从业者QQ大群(群号:1255197) ,欢迎各位同仁加入!有其它问题如合作等,请联系站长“网路游侠”,QQ:55984512


黑帽大会:有150种方法可绕过Web应用防火墙!

2012-08-03 16:44 推荐: 浏览: 68 views 字号:

摘要: 一个新的工具可测试Web应用防火墙(WAF)是否存在漏洞,可以被150多种协议级避让技巧绕过,这是黑帽USA 2012大会上所披露的一个惊人事实。 安全厂商Qualys的工程经理,也是ModSecurity WAF的初创者Ivan Ristic一直在研究这一工...

一个新的工具可测试Web应用防火墙(WAF)是否存在漏洞,可以被150多种协议级避让技巧绕过,这是黑帽USA 2012大会上所披露的一个惊人事实。

安全厂商Qualys的工程经理,也是ModSecurity WAF的初创者Ivan Ristic一直在研究这一工具及其创建过程。

WAF旨在保护Web应用免受来自已知攻击类型,如SQL注入等的攻击,通常用于Web网站。WAF的功能主要是拦截来自客户端发送的请求,并执行一些严格的规则,如格式与有效载荷等。

然而,很多违背规则的恶意请求只须修改其头部的一些部分,或者修改所请求的URL路径,便可采用多种方法绕过WAF。这些都是知名的协议级避让技巧,WAF无法及时地阻断它们,因为这些技巧并没有被很好地记录下来,Ristic说。

Ristic测试了多种主要针对ModSecurity的避让技巧,由此可以合理地推论,其他WAF也存在着相似的漏洞。

Ristic说,他在研究时已经跟其他人分享过一些技巧,他们也成功地绕过了一些商用WAF产品。

瑞士WAF厂商Ergon Infoematik的研发负责人Erwin Huber Dohner在看了Ristic所演示的避让方法后肯定地说,这是一个全行业存在的问题。Ergon最近已经发现了一些针对其产品的类似技巧,并且已经修复了漏洞。

通过将其研究公开,Ristic希望在行业内发动一场讨论,专门针对协议级和其他避让类型。相应的wiki也已经建立,目的是提供一份免费使用的可用WAF避让技巧分类列表。

Ristic说,如果厂商和安全研究人员没有记录下他们发现的问题,并使其公开,那么WAF开发人员就会一而再再而三地犯同样的错误。

除此之外,该测试工具的可用性还允许用户去发现哪些WAF产品存在漏洞,从而有希望迫使其厂商修复之。

厂商们有他们自己的优先事项,除非对其客户产生了实际的威胁,否则一般是不会去修复这些漏洞的,Ristic说。这一研究项目有望让厂商们有动因去处理这类问题。

Dohner对这样的倡议表示欢迎,并认为这对于WAF开发人员和用户来说都是有益的。

网路游侠

微博有朋友给我发了这链接:https://github.com/ironbee/waf-research

请大家谨慎研究,不要做坏事。

联系站长租广告位!

中国首席信息安全官