什么是基于签名的防火墙？如何判断目标环境是否部署防火墙？

PHP脚本：

Data from the form :

步骤2：准备恶意请求！

为了检测防火墙的存在与否，第二步我们需要创建一个会被防火墙阻止的恶意跨站脚本请求。这里我将用到一个名为“Mechanize”的python模块.

Automate Cross Site Scripting (XSS) attack using Beautiful Soup and Mechanize

如果你已经了解了Mechanize模块，可以跳过此文章的阅读。现在，我们就可以对任意页面提供的Web表单发起请求了。实现代码如下：

import mechanize as mec maliciousRequest = mec.Browser() formName = 'waf' maliciousRequest.open("http://check.cyberpersons.com/crossSiteCheck.html") maliciousRequest.select_form(formName)

让我来简单解释下这几行代码的用意：

在第一行代码，我们首先导入了mechanize模块，并给它了一个简称’mec’以便我们后续使用。

要想使用mechanize下载网页，我们需要实例化浏览器。因此在第二行代码中，我们实例化了浏览器。

在步骤1中我们定义了我们的HTML文档，其中表单名称为“waf”。因此在第三行代码中，我们需要告诉mechanize要选择以此命名的表单进行提交，所以formName变量为‘waf’。

第四行代码就是打开目标URL地址，并提交我们的数据。

最后我们使用’select_form()’函数传递’formName’变量。

在以上的HTML文档中，我们只定义了一个表单输入字段，我们将利用该字段注入我们的恶意payload，并通过检查http响应信息来判断目标是否部署了Web应用防火墙。

步骤3：准备payload

在HTML文档中我们定义了一个名为’data’的输入字段：

input type="text" name="data">

因此，我们可以使用以下代码来提交我们的payload：

crossSiteScriptingPayLoad = "

"maliciousRequest.form['data'] = crossSiteScriptingPayLoad

第一行代码我们首先将payload赋给了变量

‘crossSiteScriptingPayLoad’。

第二行代码我们将payload提交给了表单字段“data”。

步骤4：提交表单并记录响应

下面我们提交此表单并记录响应信息：

maliciousRequest.submit() response = maliciousRequest.response().read() print response

提交表单

将响应赋给变量。

将将响应信息打印出来。

由于我目前并未安装部署防火墙，所以我得到了如下响应：

可以看到payload被打印在了HTML文档中，这也说明应用程序代码中没有任何的过滤机制，并且由于没有防火墙的保护，我们的恶意请求也未被阻止。

步骤5：防火墙部署检测

变量’response’中包含了从服务器获取的响应信息，也是我们判断目标环境是否部署防火墙的重要依据。下面，我们将针对以下几款防火墙进行检测。

WebKnight

Mod_Security

Dot Defender

看看我们如何用python代码实现检测：

if response.find('WebKnight') >= 0: print "Firewall detected: WebKnight" elif response.find('Mod_Security') >= 0: print "Firewall detected: Mod Security" elif response.find('Mod_Security') >= 0: print "Firewall detected: Mod Security" elif response.find('dotDefender') >= 0: print "Firewall detected: Dot Defender" else: print "No Firewall Present"

这段代码首先我们对WebKnight的防火墙做了判断。如果目标环境安装了WebKnight，那么在我们的响应中将包含字符串“WebKnight”，并且find函数的返回值也将会大于0。同样，对于另外两个防火墙亦是如此。

当然我们还可以继续扩展我们的python脚本，用以检测更多的防火墙类型，但前提是必须了解这些防火墙的基本响应特征。

使用暴力测试攻击绕过防火墙过滤器

在文章开头我就说过，如今的大多数防护墙都是基于签名来过滤我们的请求流量的。但是，这并不意味着我们就拿它没办法了。随着Javascript的日趋复杂，我们可以用它来构建数千种的payload并逐一进行尝试，以绕过防火墙的检测。需要说明的是如果防护墙规则被明确定义，那么该方法可能会失效。下面让我们使用python脚本，来帮助我们完成暴力测试攻击：

listofPayloads = ['