开源WAF(mod_security)的搭建和分析
作者:互联网
背景
最近需要测试关于waf的工具,要知道waf是怎么回事,必须搭建waf环境,同时才能看懂关于绕过waf的一些技术。
OWASP ModSecurity核心规则集(CRS)是一组用于ModSecurity或兼容的Web应用程序防火墙的通用攻击检测规则。CRS旨在保护Web应用程序免受各种攻击,包括OWASP十大攻击,并提供最少的虚假警报。
项目地址:https://github.com/SpiderLabs/owasp-modsecurity-crs
因为经常使用kali,因此环境全是在kali上面搭建,也不会再重新下载别的系统。
版本
~# cat /proc/version
Linux version 4.19.0-kali3-amd64 (devel@kali.org) (gcc version 8.2.0 (Debian 8.2.0-16)) #1 SMP Debian 4.19.20-1kali1 (2019-02-14)
安装modsecurity
apt-get install modsecurity-crs
它会自动加载相关组件
配置modsecurity
修改/etc/modsecurity/下的modsecurity.conf
mv /etc/modsecurity/modsecurity.conf-recommended modsecurity.conf
将文件中
SecRuleEngine DetectionOnly修改为SecRuleEngine On
测试SQL注入
在上面的配置启用之前也就是默认是仅检测(DetectionOnly),我们先来看看效果
使用DVWA中sql注入测试即可,可看到存在sql注入
启用安全规则引擎SecRuleEngine (SecRuleEngine On)之后,需重启apache2
显示403 Forbidden错误,可见waf已经生效。
工作原理
我们回过头分析下它的一个配置
1.首先我们安装了modsecurity-crs,它会自动安装apache2的库
跟进这个文件,我们看到它包含了刚才我们配置的文件,并且和它自己的安装目录
跟进安装目录,又包含了owasp-crs.load这个文件
继续跟进这个owasp-crs.load文件,它包含了自己目录下rules下的所有文件
规则文件
由此可以看出: 规则文件一共有如下几类
1. request 请求
2. response 响应
3.错误 有iis的 java的php的
4.扫描类 sannner
5.unix-shell类,也就是木马类
我们重新梳理下刚才的逻辑,也就是调用过程:
首选我们发了一个sql注入的请求给apache2 ,apach2发现库中又引用security2.conf这个配置,于是调用所有与mod-security相关的规则集。最后经过一些列处理,返回了403错误,这个mod-security就这样被调用起来了。
规则分析
我们打开apache2的日志目录,在/var/log/apach2下
发现存在一个mod-security的日志,这个就是waf审计的日志,它记录了了所有攻击日志
我们发起一个sql注入探测攻击之后,本应该返回给我们一个You have an error in your SQL syntax; check the manual tha…….等等的sql查询错误的,为什么返回给我们一个403呢
我们跟进下面的Pattern match,意思就是,它匹配到了如下规则目录中的一些信息
我们可以看到好多Pattern match,打开其中一个response的规则
根据显示第373行,我们打开该规则文件中的373行
可见,正是匹配到了该响应,它是由多个分隔符形成的,也就是它匹配到了规则其中的一个分隔符中的数据,所以才认为这是一个攻击行为。
看了几个规则文件和命名之后,至此,我们大概知道了它的一个检测过程,至少分为以下3步
1.它首先会去检测请求头Request-Headers
2.它会去检测请求Request
3.检测响应response
如果以上三步都没有问题,那么会认为这是一个正常访问,而非攻击,只要其中有一个匹配上,那么它将会返回403错误。
标签:文件,crs,WAF,waf,modsecurity,sql,规则,security,mod 来源: https://www.cnblogs.com/yuleitest/p/10539998.html