雷池 长亭waf safeline
雷池：你的网站免费安全卫士,(转自雷池微信公众号，肥肠好用，墙裂推荐)
# 雷池：你的网站免费安全卫士,(转自雷池微信公众号，肥肠好用，墙裂推荐) 原创 佚名 (微信公众号：CT Stack 安全社区]） HTTP 是当前互联网上最主流的通信协议，大到企业小到个人，可以使用建站工具轻松搭建一个新的网站。今天推荐给大家的就是这样一款网站防护工具，一款广受好评的社区 WAF ......
雷池waf，人生第一个免费好用WAF
转载自微信公众号：CT Stack 安全社区 原文地址：https://mp.weixin.qq.com/s/9N7qhvp4tu9_cwV47HGO8A ......
WAF绕过-漏洞利用之注入上传跨站绕过
SQL注入 使用如sqlmap等工具注入时，为防止CC拦截，修改数据包us头模仿爬虫，或使用代理池 安全狗：参考之前payload Aliyun：基本修改指纹即可 宝塔：匹配关键字，包括“/*”，注入语句的每个“/*”都改为“%00/*” sqlmap语句示范：sqlmap --proxy="htt ......
WAF绕过-权限控制之代码混淆造轮子
二、后门原理 1、变量覆盖--后门绕过安全狗： 相当于 2、加密传输 采取上面的方式很可能会被宝塔给拦截 编码绕过，在一些常见的waf例如宝塔对传入的参数会进行判断如果是包含类似phpinfo()这样的风险代码会被拦截，这个时候我们可以采用对代码进行编码的方式进行参数。 <?php $a = $_G ......
由于代码绕过WAF上传的tips
## 前言 最近审到一个通用的文件上传漏洞，但是在做测试的过程中遇到多种不同的WAF产品，一开始怎么都绕不过去，后面发现代码上的问题，然后基本上全绕过了 ## 分析 看到很多系统文件上传获取文件名的代码都是类似这样 ```java String fileExt=filename.substring( ......
WAF绕过-信息收集之反爬虫延时代理池
1、Safedog-未开CC CC就是DDOS攻击的一种，默认是不开启的。 判断有没有WAF可以直接在路径上报错显示。 ①用目录扫描工具扫 扫出来的目录全是假的。 使用抓取进程的抓包工具抓包 可以很明显的看出不同，在请求方法上就不同。可以修改为Get方式。 采用head的原因是因为速度更快，但是会被 ......
长亭科技-雷池waf离线一键安装和升级，以及配置
背景： 前阵子公司多个项目，参与攻防演练。服务器没做什么安全配置。就一个nginx做一些拦截不规则请求，防盗链，限制IP的配置，完全是被攻击后才加上去的限制规则，又不是做安全出身，对攻击行为了解有限。做不到自动化，很有必要用安全工具来防护。 调研： 综合对比下相关waf工具，发现雷池的生态比较齐全， ......
雷池 Web 应用防火墙安装
官方网站：https://waf-ce.chaitin.cn/ GitHub托管地址：https://github.com/chaitin/safeline 【简介】 一款足够简单、足够好用、足够强的免费 WAF。基于业界领先的语义引擎检测技术，作为反向代理接入，保护网站不受黑客攻击。 【特点】 一 ......
最好用的免费开源WAF - safeline 长亭雷池WAF
Safeline 长亭雷池 WAF 是一款功能强大且易于部署的网站应用防火墙,特别适合中小企业和个人网站。它采用先进的 AI 模型和规则库,能精准识别各类 Web 攻击,提供全方位的网站防护。无需复杂配置,开箱即用,让您的网站安全运营无后顾之忧。长亭雷池 WAF 还完全免费,让更多用户享受企业级网站 ......
天翼云重磅升级边缘WAF能力，助力企业高效应对Web安全威胁！
“2022年，网络高危漏洞数量同比增长了13%；Q2遭受攻击的API数量月均超过了25万；物联网的普及大大降低了DDoS的攻击成本，大流量攻击指数显著提升；恶意Bot流量仍在持续增长，2022年上半年Bot流量约占整体互联网流量的60%，平均每月达到110亿+，而其中具备恶意攻击性的Bot流量占比则 ......
关于用腾讯云轻量服务器搭建雷池waf出现掉监控解决方案
## 前言 用腾讯云轻量服务器搭建了雷池waf后发现腾讯云的监控也掉（腾讯内网的软件都掉线了），安装宝塔的Nginx也报错，找宝塔运维排查过后，发现是腾讯源的问题，说到腾讯云源大概知道是内网冲突了，之前找研发看过类似的问题。 ## 问题分析 1). 安装雷池waf后无法ping通腾讯内网metada ......
宝塔面板与长亭雷池waf组合
一、宝塔面板这边的修改1.1更改nginx目录下的全部conf文件中80端口，改为其他，假设改为801，具体conf路径看网站设置，配置文件的最后一行。（参考https://www.bt.cn/bbs/thread-107318-1-1.html）1.2、更改网站的nginx配置文件，比如将443改 ......
WEB漏洞—XSS跨站之WAF绕过及安全修复
xsstrike下载：https://github.com/s0md3v/XSStrike XSStrike相关的命令 -h, --help //显示帮助信息 -u, --url //指定目标 URL --data //POST 方式提交内容 -v, --verbose //详细输出 -f, --f ......
基础入门-Web架构&OSS存储&负载均衡&CDN加速&反向代理&WAF防护
[TOC] # WAF  公司产品大部分以硬件为主；商业产品，个人使用的以软件为主；  [参考](https://www.yuque.com/weiker/xiaodi/srr ......
长亭waf-ce 版本嵌入模式集成说明
就在最近的ce 版本中，支持直接集成waf 能力到外部openresty （nginx 服务中），这样waf 能力就类似一个外部服务了，对于openresty 来说 就是在不同阶段使用waf-ce 提供的方法，详细安装暂时就不说了，官方已经提供了，我只说明关于集成的一些问题 集成问题 玩法参考图 注 ......
长亭waf-ce 版本试用
最近长亭提供了ce 版本的waf ，部分开源了（部分管理UI，t1k 部分，部分语义分析自动机引擎） 运行 离线下载docker 镜像 以下地址http://demo.waf-ce.chaitin.cn/image.tar.gz 加载镜像cat image.tar.gz | gzip -d | do ......
WEB安全-渗透测试-waf绕过信息收集
# waf绕过 >WAF拦截会出现在安全测试的各个层面，掌握各个层面的分析和绕过技术最为关键  本文主要 ......
waf绕过（文件上传）
waf常见绕过方法 1.数据溢出-防止匹配（制造大量垃圾数据插入其中） 2.符号变异-防止匹配（一个“或者‘之内） 3.数据截断-防止匹配（%00；/n等符号） 4.重复数据-防止匹配（参数叠加参数） waf修复方案 1.后端验证：采用服务端验证模式 2.后缀检测：基于黑名单，白名单过滤 3.mim ......
盘点 2023 十大免费/开源 WAF
在互联网上公开能找到资料的 WAF 项目少说也有几千个，但其中绝大部分偏实验 Demo 的性质，工程性不足，缺少部署案例，没有经历过大规模流量的验证，实际能称得上产品的项目不到百分之一。翻阅了大量资料，对这几十款 WAF 产品进行实际部署测试后，我选取了其中十个具有代表意义的项目，下文将逐一进行介绍... ......
长亭雷池WAF（safeline）社区版安装教程
> 雷池WAF的技术文档，并不包含 Docker 和 Docker Compose V2 安装文档，更新记录一下，共同学习，共同进步 ## 配置需求 - 操作系统：Linux - 指令架构：x86_64 - 软件依赖：Docker 20.10.6 版本以上 - 软件依赖：Docker Compose ......
利用 PHP 特性绕 WAF 测试
在测试绕过 WAF 执行远程代码之前，首先构造一个简单的、易受攻击的远程代码执行脚本。这个脚本部署在 Cloudflare WAF 和 ModSecurity + OWASP CRS3 之后。 ......
套cf后 站点WAF防火墙规则设定 这两条就够了 全能防御恶意流量攻击！
源网站 最近导航网站经常被流量攻击，疯狂跑网站流量，两个小时20G左右吧，一直困扰着我， 后来在电报群里的大神指点下，用上了CF的WAF的防火墙规则！ 添加防火墙规则表达式 第一 (cf.threat_score ge 5 and not cf.client.bot) or (not http.re ......
SQL注入三连实战绕过WTS-WAF
一键三连，sql注入 一次无意之间发现的sql注入，主要是因为有一个WTS-WAF，在此记录一下 只是友好测试，并非有意为之。。。。 # 牛刀小试1 ## 手注 **判断字段数** 测试到order by 15的时候出现了报错，那么就可以说明字段数为14 ``` http://www.xxx.com ......
nginx+ngx_lua_waf的实现 centos7
介绍： ngx_lua_waf是⼀个基于ngx_lua的web应⽤防⽕墙。 主要⽤途有： 防⽌sql注⼊，本地包含，部分溢出，fuzzing测试，xss,SSRF等web攻击 防⽌svn/备份之类⽂件泄漏 防⽌ApacheBench之类压⼒测试⼯具的攻击 屏蔽常⻅的扫描⿊客⼯具，扫描器 屏蔽异常的⽹ ......
WEB漏洞—SQL注入之堆叠及WAF绕过注入
1、堆叠查询注入 stacked injections(堆叠注入)从名词的含义就可以看到应该是一堆sql语句(多条)一起执行。在sql语句中以 ; 结束语句 mysql> select * from users; + + + + | id | username | password | + + + ......