wafw00f 防火墙探测

kali机器自带防火墙探测工具wafw00，它可以通过发送正常以及不正常甚至包含恶意代码的HTTP请求，来探测网站是否存在防火墙，并识别防火墙的厂商及类型。

安装：

git clone https://github.com/EnableSecurity/wafw00f.git
python setup.py install

一、检测原理

首先发送一个正常的HTTP请求，然后观察其返回有没有一些特征字符，可以识别一些WAF。

如果不成功，则发送多个（可能是恶意的）HTTP请求，触发WAF的拦截来获取其返回的特征进而判断所使用的的WAF类型。

如果还是不成功，则分析先前回复的响应，并使用另一种简单算法来猜测WAF或安全解决方案是否正在积极响应我们的攻击。

二、wafw00f使用

• -p      设置代理
• -r      不遵循3xx状态的重定向
• -t      测试一个指定的WAF
• -o      输出文件，文件类型取决于文件名后缀，支持csv、json、文本
• -i      从文件中读取目标。输入格式可以是csv，json或文本。
• -l      显示支持探测的所有WAF列表
• -H      设定一个头文件信息，用以覆盖默认的头信息

1、支持检测的WAF类型

wafw00f -l

2、测试单个 URL

wafw00f   ip(或网址)

结果显示百度显然是有waf的。它用的服务器应该是BWS/1.1，但响应包中返回的服务器是Apache，猜测可能是修改了响应包头的返回。

结果表明example.org位于Edgecast (Verizon Digital Media) WAF之后。

3、测试多个 URL

wafw00f iqiyi.com mozhe.com

4、匹配所有签名特征的WAFS

wafw00f  ip  -a 

5、-i  从文件中读取目标。输入格式可以是csv，json或文本。

csv格式：

json格式：

三、代码实现主体

插件形式实现各类WAF的检测。

每类WAF检测中，又通过正则匹配响应Headers内容。

访问https://example.org：

edgecast.py：

#!/usr/bin/env python
'''
Copyright (C) 2022, WAFW00F Developers.
See the LICENSE file for copying permission.
'''
NAME = 'Edgecast (Verizon Digital Media)'def is_waf(self):if self.matchHeader(('Server', r'^ECD(.+)?')):return Trueif self.matchHeader(('Server', r'^ECS(.*)?')):return Truereturn False

F12中看到返回的Headers中有“Server ECS (sab/5695)”，与匹配规则匹配，推断https://example.org网站有防火墙Edgecast。

四、参考

GitHub - EnableSecurity/wafw00f: WAFW00F allows one to identify and fingerprint Web Application Firewall (WAF) products protecting a website.

聊聊 Wafw00f 源码及流量特征-51CTO.COM