X-WAF 是一款适用中、小企业的云 WAF 系统，让中、小企业也可以非常方便地拥有自己的免费云 WAF。
WAF全称叫Web Application Firewall，也就是web应用防火墙，和传统防火墙的区别是，它是工作在应用层的防火墙，主要针对web请求和响应进行检测和防护。
之前的文章中介绍了nginx的一种waf，是添加modsecurity模块来作为nginx的waf，功能很强大，nginx官方plus版本中其实也是用modsecurity作为waf的，但是modsecurity对于普通用户来说配置相对复杂，特别是它的规则，所以，今天推荐一个开源、高性能、低规则维护的waf——Naxsi
在攻防实战中，往往需要掌握一些特性，比如服务器、数据库、应用层、WAF层等，以便我们更灵活地去构造Payload，从而可以和各种WAF进行对抗，甚至绕过安全防御措施进行漏洞利用。
这篇文章也是自己在实战中所遇见的一些总结，各位大师傅估计都知道这些最基础的问题，还是写给小白们的一点学习经验吧。
在平时上网中，我们经常听到“xxx被拉入黑名单”、“把xxx加入白名单”，黑白名单成了禁止访问和允许访问的代名词，黑白名单是一种常见的安全机制，用于隔离流量，然后对隔离的流量采取特定操作。
来源：网络技术联盟站 链接：https://www.wljslmz.cn/19806.html
Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。
WAF（Web应用层防火墙），顾名思义，既然带着个防火墙，就是阻断型的安全设备了。Waf也是常见的安全设备之一，用于暴露面web的防护，刚好前段时间很多博主也在狂吹雷池，这篇文章刚好借着雷池就探讨一下WAF这类安全设备的应用。
目前除了用付费的宝塔防火墙插件之外，其实还有两种方式可以使用免费的Nginx防火墙功能：一个是可以在面板插件里面搜索“防火墙”可以找到第三方的免费防火墙插件，登陆面板安装就可以使用。还有一种方式是开启被隐藏的nginx防火墙模块，下面重点讲下如何开启隐藏的防火墙。
最近服务上了ngx_lua_waf以防御攻击，但是ngx_lua_waf的参数确实有些严格，导致自己写文章都被BAN，于是看了看源码，发现可以添加url白名单功能，这不就搞定了！
声明：该公众号大部分文章来自作者日常学习笔记，也有少部分文章是经过原作者授权和其他公众号白名单转载，未经授权，严禁转载，如需转载，联系开白。
过去企业通常会采用防火墙，作为安全保障的第一道防线；当时的防火墙只是在第三层（网络层）有效的阻断一些数据包；而随着web应用的功能越来越丰富的时候，Web服务器因为其强大的计算能力，处理性能，蕴含较高的价值，成为主要的被攻击目标（第七层应用层）而传统防火墙在阻止利用应用程序漏洞进行的攻击方面，却没有办法；在此背景下，WAF(Web Application Firewall）应运而生。
网上关于安全狗的sql绕过研究，大多数是fuzz绕过的帖子，fuzz方法常常使用注释绕过，涉及到数据库特性，而且广泛用于注释语法的星号（*）可能会被网站自带的防恶意代码模块拦截了，在实践中体验不好。太多fuzz过waf的文章，多数是使用注释绕过，在我看来，所有fuzz绕过，本质就是正则匹配逃逸。
之前写了一篇《WAF防御能力评测及工具》，是站在安全运维人员选型WAF产品的角度来考虑的（优先从测试角度考虑是前职业病，毕竟当过3年游戏测试?!）。本篇文章从WAF产品研发的角度来YY如何实现一款可靠
出口安全 不轻易暴露外网ip和服务端口； 使用防火墙和路由器以及云上的NAT网络，只映射web服务、V**，其他暴露服务进行都进行访问控制 web请求服务器时通过CDN 服务既提高静态资源加载速度，同时也隐藏了真实的源地址 系统安全 Linux 使用iptables定制白名单策略访问策略 Windows 通过防火墙策略和组策略->ip策略控制服务 Linux系统自带访问控制配置：白名单/etc/hosts.allow、黑名单/etc/hosts.deny 登录审计 堡垒机让线上操作更加
今天来为大家推荐一个新的开源项目，这个项目收集整理了非常全面的 WAF 相关技术，其中包括 WAF 的简介、如何识别 WAF、常见 WAF 的指纹识别方法、绕 WAF 的测试技术、已知 WAF 的绕过方式、如何用工具绕 WAF 以及一些参考链接等。
参考地址：http://www.2cto.com/Article/201303/198425.html
完整攻击链大概包括信息搜集、漏洞利用、建立据点、权限提升、权限维持、横向移动、痕迹清除等七步，虽然这个站点只经历了前四步，但也具有较强的代表性，组合利用漏洞形成攻击连，拿下管理权限。
作为web站点，开启cdn加速对提升用户体验十分重要，能有效减少由于物理地域的距离导致的网络延迟，当然主要是增对静态资源。 另外还可以给我们提升网站的可用性，由于前端每次发布更新后，资源的hash值都会更新， 导致发布正在访问的页面无法拉取已经更新静态资源，从而导致当前页面无响应。
常用的一些可执行的文件脚本后缀：.php .php2 .php3 .php5 .phtml.asp .aspx .ascx .ashx.cer.jsp .jspx 在上传的文件中使用一些特殊的符号，使得文件被上传到服务器中时路径被截断从而控制文件路径。常用的进行文件路径截断的字符如下：• • ？• %00在可以控制文件路径的情况下，使用超长的文件路径也有可能会导致文件路径截断。 .htaccess文件攻击.htaccess文件攻击即结合黑名单攻击服务器的 .htaccess文件 。通过move_
OpenResty® 是一个结合了 Nginx 与 Lua 的高性能 Web 平台，其内部集成了大量精良的 Lua 库、第三方模块以及大多数的依赖项。用于方便地搭建能够处理超高并发、扩展性极高的动态 Web 应用、Web 服务和动态网关。 OpenResty® 通过汇聚各种设计精良的 Nginx 模块（主要由 OpenResty 团队自主开发），从而将 Nginx 有效地变成一个强大的通用 Web 应用平台。这样，Web 开发人员和系统工程师可以使用 Lua 脚本语言调动 Nginx 支持的各种 C 以及 Lua 模块，快速构造出足以胜任 10K 乃至 1000K 以上单机并发连接的高性能 Web 应用系统。 OpenResty® 的目标是让你的Web服务直接跑在 Nginx 服务内部，充分利用 Nginx 的非阻塞 I/O 模型，不仅仅对 HTTP 客户端请求,甚至于对远程后端诸如 MySQL、PostgreSQL、Memcached 以及 Redis 等都进行一致的高性能响应。
当初选择ngx_lua_waf作为自己的WAF，主要原因就是因为其可扩展性与性能上有一个很好的平衡。
事情的起源来自某次凌晨四点，我正睡得香甜。突然被 NOC 一个电话打了过来，那头说终于打通了一个电话，给你们组其他人打电话都接不通，你们服务的请求量暴涨，麻烦帮看一下是什么问题。
前面我们学习了如何寻找，确认，利用SQL注入漏洞的技术，本篇文章我将介绍一些更高级的技术，避开过滤，绕开防御。有攻必有防，当然还要来探讨一下SQL注入防御技巧。
将 Enable_Nginx_Lua 的值改为 y 按i进入编辑 改完按ESC 输入:wq回车保存
今天明月给大家分享一下 WordPress 站点的基本安全防御措施，这些都是明月多年使用 WordPress 的经验总结，至少都是“实测有效”的，甚至不少还是明月正在使用的，希望可以帮助到各位 WordPress 博客站长们。
现在企业的业务出口基本是http/https其他内部端口都可以在设备acl和iptables访问控制；那主要的web出口如何做安全防护？？ 我们使用nginx lua 来实现web软waf。
文件上传漏洞是指用户上传了一个可执行的脚本文件，并通过此脚本文件获得了执行服务器端命令的能力。常见场景是web服务器允许用户上传图片或者普通文本文件保存，而用户绕过上传机制上传恶意代码并执行从而控制服务器。显然这种漏洞是getshell最快最直接的方法之一，需要说明的是上传文件操作本身是没有问题的，问题在于文件上传到服务器后，服务器怎么处理和解释文件。
说起 360 网站卫士 CDN 很多站长们应该是都不陌生的！明月也一直都在推荐站长们使用 360 网站卫士，包括明月自己也一直在使用这个免费 CDN 服务。虽然明月使用和推荐这个 CDN 很久了，但明月一直没有给大家专门的讲解过，这个是真的“忘了”！其实也是因为 360 网站卫士的设置和部署都很简单，这点儿也是蛮符合 360 一贯的产品设计风格的。
腾讯云 Web 应用防火墙（Web Application Firewall，WAF）是一款基于 AI 的一站式 Web 业务运营风险防护方案。通过 AI+规则双引擎识别恶意流量，保护网站安全，提高 Web 站点的安全性和可靠性。通过 BOT 行为分析，防御恶意访问行为，保护网站核心业务安全和数据安全。 腾讯云 WAF 提供两种类型的云上 WAF，SaaS 型 WAF 和负载均衡型 WAF，两种 WAF 提供的安全防护能力基本相同，接入方式不同。
360webscan, WAF绕过
今天就聊聊关于上传绕过WAF的姿势，WAF(Web Application Firewall)简单的来说就是执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。上传绕过不算什么技术了，正所谓未知防，焉知攻，先来了解一下网站的防御措施吧！
防御DDOS是一个系统工程，攻击花样多，防御的成本高瓶颈多，防御起来即被动又无奈。DDOS的特点是分布式，针对带宽和服务攻击，也就是四层流量攻击和七层应用攻击，相应的防御瓶颈四层在带宽，七层的多在架构的吞吐量。对于七层的应用攻击，我们还是可以做一些配置来防御的，例如前端是Nginx，主要使用nginx的http_limit_conn和http_limit_req模块来防御。ngx_http_limit_conn_module 可以限制单个IP的连接数，ngx_http_limit_req_module 可以限制单个IP每秒请求数，通过限制连接数和请求数能相对有效的防御CC攻击。下面是配置方法：
云Waf是近年来随着云计算的推动衍生出来的新产品，云WAF，也称WEB应用防火墙的云模式，这种模式让用户不需要在自己的网络中安装软件程序或部署硬件设备，就可以对网站实施安全防护，它的主要实现方式是利用DNS技术，通过移交域名解析权来实现安全防护。用户的请求首先发送到云端节点进行检测，如存在异常请求则进行拦截否则将请求转发至真实服务器。
waf支持敏感信息隐藏、云平台WAF要支持对多种不同编码的识别和解码，包括Base64、URL Encoding、HTML Entities、Hex Encoding等编解码方式。
2.可导致读取任意文件、执行系统命令、探测内网端口、攻击内网网站等危害。对于不同 XML 解析器,对外部实体有不同处理规则,在 PHP 中默认处理的函数为: xml_parse 和 simplexml_load xml_parse 的实现方式为 expat 库，默认情况不会解析外部实体,而 simplexml_load 默认情况下会解析外部实体,造成安全威胁.除 PHP 外，在 Java，Python 等处理 xml 的组件及函数中都可能存在此问题
▎各位 Buffer 晚上好，FreeBuf 甲方群话题讨论第204期来了！FB甲方社群不定期围绕安全热点事件、前沿技术、运营体系建设等话题展开讨论，Kiki 群助手每周整理精华、干货讨论内容，为您提供一手价值信息。 注：上期精彩内容请点击：MacOS风险排查怎么做；春节安全值守怎么安排 本期话题抢先看 1. 应对监管部门审计，如何提供安全事件应急响应管理制度的落实情况？ 2. 针对短信验证码，如果第一次输入错误，是否要求销毁让用户重新获取？ 3. 关于WebShell的检测思路及控制措施的探讨。 4. 抗
在服务器客户端领域，曾经出现过一款 360 主机卫士，目前已停止更新和维护，官网都打不开了，但服务器中依然经常可以看到它的身影。
云组件检查项案例全球加速ECDN限频： 压测时需绕过ECDN20200506，项目压测经过ecdn，导致触发了ecdn单个ip的限频安全产品WAF限频： 确保WAF套餐配置达到容量要求20200602，某项目中使用的WAF的QPS套餐最大10w，导致压测QPS达到10w后出现限频限频： 确保压测机IP被添加到安全打击白名单20200605，某项目压测时未将压测机IP未加入白名单，导致触发WAF限频，接口QPS曲线不平稳连接方式：确保回源连接方式为长连接，短连接需解释20220510，系统中WAF的回源方式设
最近闲来无事发现一款免费的，号称使用智能语义分析算法的WAF（SafeLine，也叫雷池WAF）于是打算搭建试用一下 。
在服务器客户端领域，曾经出现过一款360主机卫士，目前已停止更新和维护，官网都打不开了，但服务器中依然经常可以看到它的身影。从半年前的测试虚拟机里面，翻出了360主机卫士Apache版的安装包，就当做是一个纪念版吧。这边主要分享一下几种思路，Bypass 360主机卫士SQL注入防御。
免费的web应用防火墙最出名的非ModSecurity莫属。ModSecurity一度以维护者众多，规则更新较积极，并且免费而受安全圈追捧，然而随着时代变迁，ModSecurity的多种致命缺陷也逐渐暴露，包括：
1、脚本或工具速度流量快 2、脚本或工具的指纹被识别 3、脚本或工具的检测Payload
网站应用级入侵防御系统（Web Application Firewall，WAF），也称为Web防火墙，可以为Web服务器等提供针对常见漏洞（如DDOS攻击、SQL注入、XML注入、XSS等）的防护。在渗透测试工作中，经常遇到WAF的拦截，特别是在SQL注入、文件上传等测试中，为了验证WAF中的规则是否有效，可以尝试进行WAF绕过。本章将讨论注入和文件上传漏洞如何绕过WAF及WebShell的变形方式。
渗透的本质=信息收集？随着实践的次数增多，慢慢发现信息收集的重要性，当掌握的信息越多，目标暴露的弱点也会越多，下一步进攻的突破口越明显。
说到防火墙吧，应该也算是最贴近大众的安全设备了，因为不管是硬件防火墙，还是软件防火墙，windows自带的defender啊之类的，其实很常见。防火墙一般都长这个样子：
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
