Unwaf

Unwaf ist ein Go-Tool, das dabei hilft, WAF-Bypässe mithilfe passiver Techniken zu identifizieren. Es automatisiert den Prozess der Entdeckung der echten Origin-IP hinter einer WAF/CDN, indem es mehrere Entdeckungsmethoden kombiniert und Kandidaten durch HTML-Ähnlichkeitsvergleich, SSL-Zertifikat-Fingerprinting und HTTP-Header-Analyse verifiziert.

Unwaf automatisiert die Schritte, die ich in diesem LinkedIn-Beitrag erklärt habe: Passive WAF bypassing

Aktuelle Version: 3.0.0 — Siehe CHANGELOG.md für die Versionshistorie.

Inhaltsverzeichnis

• Funktionsweise
• Entdeckungsmethoden
• Verifizierungsmethoden
• Installation
• Verwendung
• Optionen
• Beispiele
• Konfiguration
• Autor
• Lizenz

Funktionsweise

1. Dynamische WAF-CIDRs — Ruft Live-Cloudflare-IP-Bereiche ab und kombiniert sie mit fest codierten WAF/CDN-Bereichen (einschließlich IPv6).
2. WAF-Bestätigung — Löst die aktuellen A-Records der Domain auf, prüft, ob sie in bekannten WAF/CDN-Bereichen liegen, und führt Fingerprinting über HTTP-Header durch.
3. Favicon-Hashing — Ruft favicon.ico ab und generiert MD5-, SHA256- und MMH3-Hashes (Shodan).
4. IP-Entdeckung — Führt alle aktivierten Methoden aus (bis zu 15 Quellen), um Kandidaten-Origin-IPs zu sammeln.
5. Filterung — Verwirft IPs, die zu bekannten WAF/CDN-Bereichen gehören, sowie IPs, die mit der aktuellen DNS-Auflösung der Domain übereinstimmen.
6. Port-Scanning — Prüft Kandidaten gleichzeitig auf 8 gängigen Web-Ports mit Fortschrittsbalken.
7. Origin-Verifizierung — Für jeden Webserver:
   • Ruft HTML ab (direkte IP + Host-Header-Injection) und vergleicht mit der Referenz
   • Vergleicht SSL-Zertifikat-Fingerabdrücke auf TLS-Ports
   • Vergleicht HTTP-Antwort-Header
   • Berechnet Gesamtbewertung (60% HTML + 25% Zertifikat + 15% Header ± Status)
8. Nachbar-Scanning (optional) — Erweitert bestätigte Bypass-IPs auf /24-Subnetze und scannt Nachbarn.
9. ASN-Lookup — Identifiziert ASN und Organisation für bestätigte Bypass-IPs.
10. Ergebnisse — Meldet Übereinstimmungen über dem Schwellenwert mit Bewertungen, ASN-Informationen und curl-Verifizierungsbefehlen.

Entdeckungsmethoden

Verifizierungsmethoden

Installation

go install github.com/mmarting/unwaf@latest

Verwendung

unwaf -h

Optionen

Beispiele

Eine Domain prüfen (nur kostenlose Methoden, keine API-Schlüssel erforderlich):

unwaf -d example.com

Sowohl reine Domains als auch vollständige URLs funktionieren:

unwaf -d https://example.com/path

Mit einer manuell gespeicherten HTML-Datei prüfen (nützlich, wenn die WAF das Tool blockiert):

unwaf -d example.com -s original.html

Den Ähnlichkeitsschwellenwert senken, um Teilübereinstimmungen zu erfassen:

unwaf -d example.com -t 40

Die Parallelität für schnelleres Scannen erhöhen:

unwaf -d example.com -w 100

Ausführlicher Modus, um jede aufgelöste Subdomain/IP zu sehen:

unwaf -d example.com -v

Silent-Modus für Automatisierung — gibt nur IPs aus, eine pro Zeile:

unwaf -q -d example.com

JSON-Ausgabe für Automatisierung:

unwaf -d example.com --json

Batch-Modus mit Domain-Liste:

unwaf -l domains.txt --json -o results.json

Einen Proxy verwenden (Tor, Burp, usw.):

unwaf -d example.com --proxy socks5://127.0.0.1:9050

/24-Nachbarn von Bypass-IPs scannen:

unwaf -d example.com --scan-neighbors

Anfragen auf 2/Sek. mit 5s Timeout begrenzen:

unwaf -d example.com --rate-limit 2 --timeout 5

Weiterleitung an andere Tools

# Feed into nuclei
unwaf -q -d target.com | nuclei -l - -t waf-bypass.yaml

# Feed into httpx
unwaf -q -d target.com | httpx -silent

# Batch recon
cat domains.txt | while read d; do unwaf -q -d "$d" | sed "s/^/$d,/"; done > results.csv

# JSON + jq
unwaf -d target.com --json | jq '.bypasses[].ip'

Konfiguration

Beim ersten Ausführen erstellt Unwaf $HOME/.unwaf.conf mit dieser Vorlage:

# Unwaf config file — API keys for optional discovery methods
# Free methods (SPF, MX, crt.sh, subdomains, OTX, RapidDNS, HackerTarget, Wayback) work without any keys.

# ViewDNS.info — DNS history (250 free requests, no credit card required)
viewdns=""

# SecurityTrails — DNS history (https://securitytrails.com/corp/api)
securitytrails=""

# Censys — SSL certificate search (requires a PAID license)
censys_token=""
censys_org_id=""

# AlienVault OTX — passive DNS (optional, raises rate limits)
otx_api_key=""

# Shodan — host search by SSL cert, hostname, favicon hash
shodan_api_key=""

# DNSDB/Farsight — historical DNS records (Community Edition: 500 queries/month free)
dnsdb_api_key=""

Autor

Martín Martín

• Website
• LinkedIn
• GitHub

Lizenz

Verteilt unter der GPL v3 License.