ngx_lua_waf基于ngx_lua的web应用防火墙，使用起来简单，高性能和轻量级。 ?防止sql注入，本地包含，部分溢出，fuzzing测试，xss,SSRF等web攻击?防止svn/备份之类文件泄漏?防止ApacheBench之类压力测试工具的攻击?屏蔽常见的扫描黑客工具，扫描器?屏蔽异常 ...
分类：
其他好文 时间：
2018-07-10 18:27:52
阅读次数：
251
https://soroush.secproject.com/blog/ https://appseceurope2018a.sched.com/speaker/soroush_dalili.1y2dtv3m waf-bypass-techniques-using-http-standard-and-web-servers-behavior
分类：
其他好文 时间：
2018-07-10 16:45:07
阅读次数：
126
Janusec Application Gateway 提供WAF (Web Application Firewall, Web应用防火墙)、Web路由、统一Web化管理、证书保护，以及可扩展的负载均衡等功能，是应用安全领域的最佳实践。 ...
分类：
Web程序 时间：
2018-07-01 11:55:05
阅读次数：
174
SqlMap sqlmap官网：‘http://sqlmap.org/’ sqlmap 需要 python2才能运行 WAF：web应用防护，是通过一系列针对HTTP/HTTPS的安全策略专门为web应用提供保护的产品 单词： current 现在的 count 总数 Python socket（） ...
分类：
其他好文 时间：
2018-06-24 23:51:31
阅读次数：
198
现在市场上的主流网络安全产品可以分为以下几个大类：1.基础防火墙FW/NGFW类 主要是可实现基本包过滤策略的防火墙，这类是有硬件处理、软件处理等，其主要功能实现是限制对IP:port的访问。基本上的实现都是默认情况下关闭所有的通过型访问，只开放允许访问的策略。FW可以拦截低层攻击行为，但对应用层的 ...
分类：
其他好文 时间：
2018-06-21 15:32:05
阅读次数：
265
使用sqlmap中tamper脚本绕过waf 脚本名：0x2char.py 作用：用UTF-8全角对应字符替换撇号字符 作用：用等价的CONCAT（CHAR（），...）对应替换每个（MySQL）0x <hex>编码的字符串 测试对象： MySQL 4，5.0和5.5 脚本名：apostrophem ...
分类：
数据库 时间：
2018-06-13 18:47:06
阅读次数：
224
0x00 前言 ngx_lua_waf是一款基于ngx_lua的web应用防火墙，使用简单，高性能、轻量级。默认防御规则在wafconf目录中，摘录几条核心的SQL注入防御规则： 这边主要分享三种另类思路，Bypass ngx_lua_waf SQL注入防御。 0x01 环境搭建 github源码： ...
分类：
数据库 时间：
2018-06-12 14:10:12
阅读次数：
228
一.%00截断 %00截断是上传漏洞中常用的一个非常经典的姿势，在SQL注入中，也可以用来绕过。在WAF层，接收参数id后，遇到%00截断，只获取到 id=1，无法获取到后面的有害参数输入； 二.GET+POST 当同时提交GET、POST请求时，进入POST逻辑，而忽略了GET请求的有害参数输入, ...
分类：
数据库 时间：
2018-06-10 00:27:22
阅读次数：
227
0x00 前言 在服务器客户端领域，曾经出现过一款360主机卫士，目前已停止更新和维护，官网都打不开了，但服务器中依然经常可以看到它的身影。从半年前的测试虚拟机里面，翻出了360主机卫士Apache版的安装包，就当做是一个纪念版吧。这边主要分享一下几种思路，Bypass 360主机卫士SQL注入防御 ...
分类：
数据库 时间：
2018-06-07 14:15:22
阅读次数：
220
nginx.conf配置文件includemain.conf;xhttp{includecontrol.conf;#include/alidata1/app/aegis_waf_ii/conf/waf.conf;server_tagoff;server_infooff;server_tokensoff;includevhost/*.outer;}main.conf配置文件usernginx;#进程
分类：
其他好文 时间：
2018-06-06 18:23:05
阅读次数：
162
