微信
源码
地图
apache
微信小程序
python零基础教程
postman
测试用例
网络技术
Shader
wasm
2022
小程序毕业设计
树莓派
redux
junit
es6
bypassav
swiftu
DSP
waf
2024/4/12 10:55:18
什么是Web应用程序防火墙，WAF与其他网络安全工具差异在哪？
一、什么是Web 应用程序防火墙 (WAF) ？
WAF软件产品被广泛应用于保护Web应用程序和网站免受威胁或攻击，它通过监控用户、应用程序和其他互联网来源之间的流量，有效防御跨站点伪造、跨站点脚本（XSS攻击）、SQL注入、DDo…
Web应用防护系统的概述（WAF）
前言
Web应用防护系统（也称为：网站应用级入侵防御系统。英文：Web Application Firewall，简称： WAF）。利用国际上公认的一种说法：Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门…
【经验总结】SQL注入Bypass安全狗360主机卫士
0x00 前言
这类的文章已经是比较多了，本文也主要是作为学习笔记来记录，主要是记录一下我在学习 SQL 注入 Bypass 的过程，同时前人的不少绕过方法已经失效了，所以这里也是记录一下最新规则的一些绕过方法。
0x01 环境搭建
测试环…
WAF攻防相关知识点总结1--信息收集中的WAF触发及解决方案
什么是WAF WAF可以通过对Web应用程序的流量进行过滤和监控，识别并阻止潜在的安全威胁。WAF可以检测Web应用程序中的各种攻击，例如SQL注入、跨站点脚本攻击（XSS）、跨站请求伪造（CSRF）等，并采取相…
定制SQLmap和WAF绕过
网络安全法
1. SQLmap tamper 脚本编写
以sqli-lab第26关为例
输入?id1’ --，报错字符型注入 考虑闭合问题，输入?id1’ and 1，但是回显中and和空格消失了，可知and和空格被过滤了 因为and和or被过滤考虑使用双写绕过手段&…
AWS-WAF-CDN基于速率rate的永久黑名单方案（基于lambda实现）
参考方案（有坑）， 所以产生了这篇博客： 点击跳转
1. 部署waf （有则跳过） 必须存在一个rate速率规则，后面的方案堆栈要用
新建rate速率规则 关联cdn资源
2.部署堆栈 (美国东部 (弗吉尼亚北部 …
（WAF）Web应用程序防火墙介绍
（WAF）Web应用程序防火墙介绍
1. WAF概述
Web应用程序防火墙（WAF）是一种关键的网络安全解决方案，用于保护Web应用程序免受各种网络攻击和威胁。随着互联网的不断发展，Web应用程序变得越来越复杂&#x…
WAF攻防相关知识点总结2-代码免杀绕过
WAF的检测除了有对于非正常的流量检测外还对于非正常的数据包特征进行检测
以宝塔为例
在宝塔的后台可以放置一句话木马的文件
宝塔不会对于这个文件进行拦截，但是一旦我们使用菜刀蚁剑等webshell工具去进行连接的时候，数据报中有流量特征就会被拦截 …
aws-waf-cdn 基于规则组的永黑解决方案
1. 新建waf 规则组 2. 为规则组添加规则 根据需求创建不同的规则
3. waf中附加规则组 （此时规则组所有规则都会附加到waf中，但是不会永黑） 此刻，可以选择测试下规则是否生效，测试前确认保护资源绑定无误
4. 创建堆…
部署WAF安全应用防火墙(openresty部署)
使用NGINX+Openresty实现WAF功能
一、了解WAF
1.1 什么是WAF
Web应用防护系统(也称：网站应用级入侵防御系统 。英文：Web Application Firewall，简称： WAF)。利用国际上公认的一种说法：Web应用 防火墙 是通过执行一系列针对HTTP/HTTPS的 安全策略 来专门为Web应用提供保…
BUU 加固题 AWDP Fix 持续更新中
BUU Ezsql
首先连接上ssh。输入账号密码。 到/var/www/html目录下，源码在里面。 主要是看index.php文件。
<?php
error_reporting(0);
include dbConnect.php;
$username $_GET[username];
$password $_GET[password];
if (isset($_GET[username]) &&am…
渗透测试-waf fuzz绕过技巧
waf fuzz绕过技巧0x00 知己知彼常见 waf 收集SecureSphere (Imperva)西数WTS-WAF安全狗D盾腾讯云 waf阿里云云盾Web应用防火墙云锁UPUPW安全防护宝塔网站防火墙网防G01护卫神智创防火墙腾讯云玄武盾ISG0x01 waf 绕过(过狗)姿势 举例SQL注入篇1.内联注释绕过2.等价替换法&#x…
WAF攻防-权限控制代码免杀异或运算变量覆盖混淆加密传参
文章目录基础-脚本后门控制原理-代码解释原理-脚本后门查杀机制-函数&行为代码-脚本后门免杀变异-覆盖&传参代码-脚本后门免杀变异-异或&加密拓展-脚本后门脚本类型-JSP&ASPXwebshell检测平台 https://scanner.baidu.com/#/pages/intro https://ti.aliyun.com/…
专门为Web应用程序提供安全保护的设备-WAF
互联网网站面临着多种威胁，包括网络钓鱼和人为的恶意攻击等。这些威胁可能会导致数据泄露、系统崩溃等严重后果。
因此，我们需要采取更多有效的措施来保护网站的安全。其中WAF（Web application firewall，Web应用防火墙࿰…
「信息安全产品」WAF，web应用防火墙
部署
与商用防火墙一致，支持主-主、主-备，能够实现集群部署，并实现负载均衡
WAF功能
web通用攻击（注入、跨站等）协议规范性检查抗扫描器扫描防护敏感信息泄露内容提交检查CC攻击防护自定义规格防护（可根…
WAF攻防-信息收集识别被动探针代理池仿指纹白名单
文章目录信息收集常见检测：信息收集常见方法：信息收集-被动扫描-黑暗引擎&三方接口信息收集-工具扫描-Awvs&Xray&Goby内置信息收集常见检测：
1、脚本或工具速度流量快 2、脚本或工具的指纹被识别 3、脚本或工具的检测Payload
信…
nginx waf防火墙之Modsecurity
waf防火墙可以拦截一些非法请求，毕竟谁都不能保证自己的代码没有bug.
参考文档：Compilation recipes for v3.x SpiderLabs/ModSecurity Wiki GitHub
本次安装环境：Centos8 Stream
本次使用为nginx 1.22.1版本
本次安装方式为动态库安装…
waf之ModSecurity
参考网站 ModSecurity中文社区
Github GitHub - SpiderLabs/ModSecurity: ModSecurity is an open source, cross platform web application firewall (WAF) engine for Apache, IIS and Nginx that is developed by Trustwaves SpiderLabs. It has a robust event-based prog…
![nginx主机黑白名单[geoip]](https://img-blog.csdnimg.cn/img_convert/7cbd3a0612c160a0fa6c27dbc5eda77e.png)
nginx主机黑白名单[geoip]
国家黑白名单通过 ngx_http_geoip2_module 模块实现 1.下载 libmaxminddb 并编译安装
wget https://github.com/maxmind/libmaxminddb/releases/download/1.4.3/libmaxminddb-1.4.3.tar.gz
tar xvf libmaxminddb-1.4.3.tar.gz
cd libmaxminddb-1.4.3/
./configure
make
make …
windows下开源免费waf防火墙，附可用资源包
基于Apache ModSecurity 的waf防火墙，ModSecurity简介如下：
ModSecurity最开始是一个Apache的安全模块，后来发展成为开源的、跨平台的WEB应用防火墙。它可以通过检查WEB服务接收到的数据，以及发送出去的数据来对网站进行安全防护…
一文读懂，WAF阻止恶意攻击的8种方法
WAF（Web 应用程序防火墙）是应用程序和互联网流量之间的第一道防线，它监视和过滤 Internet 流量以阻止不良流量和恶意请求，WAF 是确保 Web 服务的可用性和完整性的重要安全解决方案。 它通过充当保护 Web 应用程序服务器免受恶意客…
信息打点-主机架构蜜罐识别WAF识别端口扫描协议识别服务安全
文章目录识别-Web服务器-请求返回包识别-应用服务器-端口扫描技术web服务器与应用服务器的区别拓展其他类型服务器识别-其他服务协议-端口扫描技术常见端口及潜在威胁识别-WAF防火墙-看图&项目&指纹1、WAF解释：2、WAF分类：3、识别看图࿱…
为什么网络攻击绝大多数发生在游戏行业
近年来，游戏行业欣欣向荣，游戏玩家也呈指数级增长，全球数以亿计的游戏玩家享受着网络游戏广泛的互动体验，然而，由于游戏的崛起和受欢迎程度也使其成为网络黑客寻求利用其漏洞的首选目标。
出于多种原因，游…
网络中黑客攻击使用手段Top25漏洞常见参数，8个WAF绕过，一些用于查找敏感文件的语法
Top25漏洞常见参数，8个WAF绕过，一些用于查找敏感文件的语法，主要包括：执行URL重定向、SQL注入、LFI本地文件包含、SSRF服务端请求伪造、XSS跨站脚本攻击等等。 Top25漏洞常见参数
包含以下漏洞的常见参数：
XSS跨站脚本攻击 SSRF服务端请求伪造 LFI本地文件包含 SQL注入 …
AI大模型时代网络安全攻防对抗升级，瑞数信息变革“下一代应用与数据安全”
AI与大模型技术加速普及，安全领域也在以创新视角聚焦下一代应用安全WAAP变革，拓展新一代数据安全领域。近日瑞数信息重磅发布了瑞数全新API扫描器、API安全审计、数据安全检测与应急响应系统及分布式数据库备份系统四大新品。此次发布在延续瑞数信息Bot自…
modsecurity规则入门(二) 及正则表达式学习
modsecurity handbook心得: 1.modsecurity是基于正则匹配的应用级防火墙，正则匹配是其核心也是其检测的重要方法，我认为也是可能限制其性能的一个因素，所以其CRS表达式会涉及到很多正则表达式的书写和组合，这个sql注入检测的规则尤…
WAF,Yakit,SSH 小技巧
文章目录 WAF,Yakit,SSH 小技巧1. WAF 文件上传绕过2. Yakit 暴力破解3. SSH 免密码登录4. SSRF配合redis未授权漏洞4.1 安装ssh4.2 redis未授权4.3 安装redis4.4 Gopher协议4.5 利用redis写文件 WAF,Yakit,SSH 小技巧
1. WAF 文件上传绕过
脏数据绕过WAF适用于所有的漏洞&am…
了解Web DDoS海啸攻击的4个维度
我们都知道近年来网络攻击的数量和频率急剧上升，针对Web应用程序的DDoS海啸攻击就是其中增长非常迅速的一个种类。过去常见的HTTP/S洪水攻击正在大范围的转变为更难对付的Web DDoS海啸攻击，每个人都应该提前做好被攻击的准备并采取适当的保护措施。 哪些…
mysql waf绕过-WAF Bypass技巧(2)
数据库waf绕过的一些玩法 WAF Bypass技巧(0)_luozhonghua2000的博客-CSDN博客
WAF绕过-WAF Bypass技巧(1)_luozhonghua2000的博客-CSDN博客 数据库特性 第一篇: Mysql数据库特性 0x01 前言 我们经常利用一些数据库特性来进行WAF绕过。在Mysgl中，比如可以这样 位置一: 参数和…