WAF
WAF绕过-信息收集之反爬虫延时代理池
1、Safedog-未开CC CC就是DDOS攻击的一种，默认是不开启的。 判断有没有WAF可以直接在路径上报错显示。 ①用目录扫描工具扫 扫出来的目录全是假的。 使用抓取进程的抓包工具抓包 可以很明显的看出不同，在请求方法上就不同。可以修改为Get方式。 采用head的原因是因为速度更快，但是会被 ......
长亭科技-雷池waf离线一键安装和升级，以及配置
背景： 前阵子公司多个项目，参与攻防演练。服务器没做什么安全配置。就一个nginx做一些拦截不规则请求，防盗链，限制IP的配置，完全是被攻击后才加上去的限制规则，又不是做安全出身，对攻击行为了解有限。做不到自动化，很有必要用安全工具来防护。 调研： 综合对比下相关waf工具，发现雷池的生态比较齐全， ......
最好用的免费开源WAF - safeline 长亭雷池WAF
Safeline 长亭雷池 WAF 是一款功能强大且易于部署的网站应用防火墙,特别适合中小企业和个人网站。它采用先进的 AI 模型和规则库,能精准识别各类 Web 攻击,提供全方位的网站防护。无需复杂配置,开箱即用,让您的网站安全运营无后顾之忧。长亭雷池 WAF 还完全免费,让更多用户享受企业级网站 ......
天翼云重磅升级边缘WAF能力，助力企业高效应对Web安全威胁！
“2022年，网络高危漏洞数量同比增长了13%；Q2遭受攻击的API数量月均超过了25万；物联网的普及大大降低了DDoS的攻击成本，大流量攻击指数显著提升；恶意Bot流量仍在持续增长，2022年上半年Bot流量约占整体互联网流量的60%，平均每月达到110亿+，而其中具备恶意攻击性的Bot流量占比则 ......
关于用腾讯云轻量服务器搭建雷池waf出现掉监控解决方案
## 前言 用腾讯云轻量服务器搭建了雷池waf后发现腾讯云的监控也掉（腾讯内网的软件都掉线了），安装宝塔的Nginx也报错，找宝塔运维排查过后，发现是腾讯源的问题，说到腾讯云源大概知道是内网冲突了，之前找研发看过类似的问题。 ## 问题分析 1). 安装雷池waf后无法ping通腾讯内网metada ......
宝塔面板与长亭雷池waf组合
一、宝塔面板这边的修改1.1更改nginx目录下的全部conf文件中80端口，改为其他，假设改为801，具体conf路径看网站设置，配置文件的最后一行。（参考https://www.bt.cn/bbs/thread-107318-1-1.html）1.2、更改网站的nginx配置文件，比如将443改 ......
WEB漏洞—XSS跨站之WAF绕过及安全修复
xsstrike下载：https://github.com/s0md3v/XSStrike XSStrike相关的命令 -h, --help //显示帮助信息 -u, --url //指定目标 URL --data //POST 方式提交内容 -v, --verbose //详细输出 -f, --f ......
基础入门-Web架构&OSS存储&负载均衡&CDN加速&反向代理&WAF防护
[TOC] # WAF  公司产品大部分以硬件为主；商业产品，个人使用的以软件为主；  [参考](https://www.yuque.com/weiker/xiaodi/srr ......
长亭waf-ce 版本嵌入模式集成说明
就在最近的ce 版本中，支持直接集成waf 能力到外部openresty （nginx 服务中），这样waf 能力就类似一个外部服务了，对于openresty 来说 就是在不同阶段使用waf-ce 提供的方法，详细安装暂时就不说了，官方已经提供了，我只说明关于集成的一些问题 集成问题 玩法参考图 注 ......
长亭waf-ce 版本试用
最近长亭提供了ce 版本的waf ，部分开源了（部分管理UI，t1k 部分，部分语义分析自动机引擎） 运行 离线下载docker 镜像 以下地址http://demo.waf-ce.chaitin.cn/image.tar.gz 加载镜像cat image.tar.gz | gzip -d | do ......
WEB安全-渗透测试-waf绕过信息收集
# waf绕过 >WAF拦截会出现在安全测试的各个层面，掌握各个层面的分析和绕过技术最为关键  本文主要 ......
waf绕过（文件上传）
waf常见绕过方法 1.数据溢出-防止匹配（制造大量垃圾数据插入其中） 2.符号变异-防止匹配（一个“或者‘之内） 3.数据截断-防止匹配（%00；/n等符号） 4.重复数据-防止匹配（参数叠加参数） waf修复方案 1.后端验证：采用服务端验证模式 2.后缀检测：基于黑名单，白名单过滤 3.mim ......
盘点 2023 十大免费/开源 WAF
在互联网上公开能找到资料的 WAF 项目少说也有几千个，但其中绝大部分偏实验 Demo 的性质，工程性不足，缺少部署案例，没有经历过大规模流量的验证，实际能称得上产品的项目不到百分之一。翻阅了大量资料，对这几十款 WAF 产品进行实际部署测试后，我选取了其中十个具有代表意义的项目，下文将逐一进行介绍... ......
长亭雷池WAF（safeline）社区版安装教程
> 雷池WAF的技术文档，并不包含 Docker 和 Docker Compose V2 安装文档，更新记录一下，共同学习，共同进步 ## 配置需求 - 操作系统：Linux - 指令架构：x86_64 - 软件依赖：Docker 20.10.6 版本以上 - 软件依赖：Docker Compose ......
利用 PHP 特性绕 WAF 测试
在测试绕过 WAF 执行远程代码之前，首先构造一个简单的、易受攻击的远程代码执行脚本。这个脚本部署在 Cloudflare WAF 和 ModSecurity + OWASP CRS3 之后。 ......
套cf后 站点WAF防火墙规则设定 这两条就够了 全能防御恶意流量攻击！
源网站 最近导航网站经常被流量攻击，疯狂跑网站流量，两个小时20G左右吧，一直困扰着我， 后来在电报群里的大神指点下，用上了CF的WAF的防火墙规则！ 添加防火墙规则表达式 第一 (cf.threat_score ge 5 and not cf.client.bot) or (not http.re ......
SQL注入三连实战绕过WTS-WAF
一键三连，sql注入 一次无意之间发现的sql注入，主要是因为有一个WTS-WAF，在此记录一下 只是友好测试，并非有意为之。。。。 # 牛刀小试1 ## 手注 **判断字段数** 测试到order by 15的时候出现了报错，那么就可以说明字段数为14 ``` http://www.xxx.com ......
nginx+ngx_lua_waf的实现 centos7
介绍： ngx_lua_waf是⼀个基于ngx_lua的web应⽤防⽕墙。 主要⽤途有： 防⽌sql注⼊，本地包含，部分溢出，fuzzing测试，xss,SSRF等web攻击 防⽌svn/备份之类⽂件泄漏 防⽌ApacheBench之类压⼒测试⼯具的攻击 屏蔽常⻅的扫描⿊客⼯具，扫描器 屏蔽异常的⽹ ......
WEB漏洞—SQL注入之堆叠及WAF绕过注入
1、堆叠查询注入 stacked injections(堆叠注入)从名词的含义就可以看到应该是一堆sql语句(多条)一起执行。在sql语句中以 ; 结束语句 mysql> select * from users; + + + + | id | username | password | + + + ......
waf绕过姿势
1、介绍 这里的waf可能指开发者自定义，也可能指市场开放的。 waf可以分为四个过程: 客户端ip是否合规 接收的参数是否合规 应用是否能够正常处理，比如mysql 返回是否合规 2、常用绕过姿势 无论何种绕过，都要求数据能够正常流动和处理。 2.1 大小写混杂 2.2 双写绕过 2.3 属性拆分 ......
长亭雷池waf社区版搭建
docker version #检查docker版本 执行以下命令创建并进入雷池安装目录 mkdir -p safeline # 创建 safeline 目录 cd safeline # 进入 safeline 目录 执行以下命令，将会自动下载镜像，并完成环境的初始化 curl -fsSLk htt ......
牧云 • 主机管理助手｜正式开放应用市场，梦幻联动雷池WAF等多款开源软件
0x00 前言 上个月，我司长亭开源了雷池WAF，不到三天就吸引了超过上千个师傅使用，几个交流群里，师傅们讨论的热火朝天，其中两个话题引起了我们牧云 • 主机管理助手 ( Collie ) 团队的关注： 没有新主机安装雷池 安装配置麻烦，希望有一键安装的脚本 别着急， Collie 会出手： 一方面 ......
OpenResty学习笔记02：为服务增加waf功能
一. WAF简介 Web应用防护系统（也称为：网站应用级入侵防御系统。英文：Web Application Firewall，简称： WAF）。 目前国内的几大云服务商都提供了企业级的WAF产品，且均价格不菲。 好消息是，在 OpenResty 生态中，有一款开源的WAF可供我等学习，开源万岁！ 二 ......
docker上面部署nginx-waf 防火墙“modsecurity”，使用CRS规则，搭建WEB应用防火墙
web防火墙（waf）免费开源的比较少，并且真正可以商用的WAF少之又少，modsecurity 是开源防火墙鼻祖并且有正规公司在维护着，目前是https://www.trustwave.com在维护，不幸的是2024 年 7 月将不再维护交还开源社区管理，Trustwave目前打造自己的web防火 ......
基于openresty开发waf防火墙
2023年3月30日11:12:01 安装openresty 你可以在你的 RHEL 系统中添加 openresty 仓库，这样就可以便于未来安装或更新我们的软件包（通过 yum check-update 命令）。添加仓库，运行下面的命令（对于 RHEL 8 或以上版本，应将下面的 yum 都替换成 ......