宝塔又一款免费安全产品,免费web网站防火墙

堡塔云WAF

宝塔又一款免费安全产品,免费web网站防火墙

免费的WAF防火墙,首个支持ARM国产系统的WAF防火墙,有超高自由度的自定义拦截规则和可灵活配置各种限制访问,有效防CC攻击、防恶意采集、防刷接口等常见攻击和黑客渗透测试行为,为您的业务网站保驾护航

堡塔云WAF的特色功能

有免费版,完全免费使用

高自由度的自定义防护规则

CC攻击拦截效果好

支持对单URL配置人机验证

缓存静态文件,减缓源站压力

攻击大屏

image.png{:width=400}

自定义拦截规则

image.png{:width=400}

可以根据自身业务配置更灵活的拦截规则

CC防御效果

采用CPBurn模拟客户访问,总共共配置3台,726个IP 地址。

完整的测试过程

被攻击时的拦截情况:

image.png{:width=400}

被攻击时的资源状况:

image.png{:width=400}

源站业务服务器,被攻击时的资源状况:

image.png{:width=400}

堡塔云WAF的安装方式

堡塔云WAF需要占用80、443、33060端口,建议使用单独服务器部署,已经安装了宝塔面板的机器不支持安装云WAF。

安装命令:

URL=https://download.bt.cn/cloudwaf/scripts/install_cloudwaf.sh && if [ -f /usr/bin/curl ];then curl -sSO "$URL" ;else wget -O install_cloudwaf.sh "$URL";fi;bash install_cloudwaf.sh

### 绕过宝塔面板WAF的XSS攻击方法探讨 #### 背景介绍 宝塔面板内置了Web应用防火墙(WAF),其主要功能是对HTTP/HTTPS流量进行实时监控和过滤,防止常见的Web攻击,如SQL注入、跨站脚本攻击(XSS)、跨站请求伪造(CSRF)等[^1]。然而,任何安全措施都可能存在被绕过的风险。 #### XSS攻击原理 跨站脚本攻击(XSS)是一种通过在网页中嵌入恶意脚本来窃取用户敏感信息或劫持会话的技术。XSS通常分为反射型XSS、存储型XSS和DOM-based XSS三种类型[^3]。 #### 宝塔WAF的工作机制 宝塔WAF通过对HTTP请求中的参数、Cookie、URL路径等内容进行模式匹配和语义分析,识别潜在的恶意行为并加以阻断。它依赖于预定义的安全规则集来判断请求是否合法[^5]。 #### 绕过WAF的可能方法 以下是几种可能绕过宝塔WAF实现XSS攻击的方法: 1. **编码混淆** 使用字符编码技术对payload进行变形,使WAF无法正确解析原始意图。例如,利用Unicode转义序列或HTML实体编码隐藏实际的JavaScript代码。 ```javascript <script> var a = "\u0061\u006c\u0065\u0072\u0074"; eval(a + "(1)"); </script> ``` 这种方式可以通过改变输入形式避开简单的字符串匹配规则。 2. **分段加载Payload** 将完整的XSS payload拆分成多个部分分别发送至服务器端再组合执行,避免一次性触发WAF检测逻辑。 ```html <!-- Part 1 --> <div id="part1">alert</div> <!-- Part 2 --> <script> document.write(document.getElementById('part1').innerText + '(document.cookie)'); </script> ``` 3. **利用浏览器特性** 借助现代浏览器的新特性和边缘案例构造复杂场景下的漏洞利用链路。比如某些特定版本下未完全封堵的`onerror`, `ondragstart`事件属性作为入口点发起攻击。 4. **时间延迟与频率控制** 对于基于速率限制或者滑动窗口统计异常活动频次而设计的部分防护组件来说,适当调整操作间隔有助于降低误报率从而成功实施渗透尝试[^4]。 5. **自定义标签名/属性名** 创建非标准但仍然有效的标记名称以及关联样式表声明等方式也可能规避掉常规扫描器对于已知危险关键字列表内的项目审查过程[^2]。 需要注意的是上述技巧仅适用于研究学习目的,请勿非法入侵他人系统! --- ###
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值