文末送书 | WAF 那些事
Hi!,我是小小,这是小小本周的最后一篇,本篇将会介绍WAF的事情,本篇将会文末送书。在此小小举出小手,相当欢迎各位快点快点快点参加。 什么是WAF WAF是一种产品,一种web应用防火墙,通过执行一定的策如,实现保护Web应用程序。 WAF分类 软件型WAF 软件型WAF是以软件的形式保护服务器上的文件内容,由于安装在服务器上,所以可以随时解除到服务器上的文件,直接检测到服务器上是否由webshell的创建,是否由木马,等。 硬件型WAF 以硬件的形式部署在链路中,支持多种部署方式,可以拦截恶意流量,可以监听拦截的记录, 云WAF 一般以反向代理的形式工作,通过配置NS记录或CNAME记录,使对网站的请求报文优先经过WAF主机,经过WAF主机过滤后,将认为无害的请求报文再发送给实际网站服务器进行请求,可以说是带防护功能的CDN。 网站系统内置的WAF 此时分为以下的几种 输入参数的强置类型转换 输入参数合法性校验。 关键函数执行的检测。 对输入流程的数据进行相关的过滤,再执行。 识别网站WAF的类型 SQLMap python sqlmap.py -u "http://xxx.com/se/" --identify-waf --batch 使用SQLMap自带的WAF模块可以识别出WAF种类,输入SQL命令可以看到相应的识别的结果 可以看到识别出WAF的类型为XXX Web