GoTestWAF

GoTestWAF es una herramienta para la simulación de ataques API y OWASP que admite una amplia gama de protocolos API, incluyendo REST, GraphQL, gRPC, SOAP, XMLRPC y otros.

Fue diseñada para evaluar soluciones de seguridad de aplicaciones web, como proxies de seguridad API, cortafuegos de aplicaciones web (WAF), IPS, pasarelas API y otras.

Cómo funciona
Requisitos
Inicio rápido con Docker
Comprobación de los resultados de la evaluación
Demostraciones
Otras opciones para ejecutar GoTestWAF
Opciones de configuración
Ejecución con el conjunto de pruebas de regresión de OWASP Core Rule Set

Cómo funciona

GoTestWAF genera solicitudes maliciosas utilizando cargas útiles codificadas colocadas en diferentes partes de las solicitudes HTTP: el cuerpo, las cabeceras, los parámetros URL, etc. Las solicitudes generadas se envían a la URL de la solución de seguridad de aplicaciones especificada durante el lanzamiento de GoTestWAF. Los resultados de la evaluación de la solución de seguridad se registran en el archivo de informe creado en su máquina.

* `payload` es una muestra de ataque malicioso (por ejemplo, un payload XSS como ```<script>alert(111)</script>``` o algo más sofisticado). Dado que el formato de la cadena YAML es necesario para los payloads, deben estar [codificados como datos binarios](https://yaml.org/type/binary.html). * `encoder` es un codificador que se aplica al payload antes de colocarlo en la solicitud HTTP. Los codificadores posibles son: * Base64 * Base64Flat * JSUnicode * URL * Plain (para mantener la cadena del payload tal cual) * XML Entity * `placeholder` es un lugar dentro de la solicitud HTTP donde debe ir el payload codificado. Los placeholders posibles son: * gRPC * Header * UserAgent * RequestBody * JSONRequest * JSONBody * HTMLForm * HTMLMultipartForm * SOAPBody * XMLBody * URLParam * URLPath * RawRequest El placeholder `RawRequest` le permitirá realizar una solicitud HTTP arbitraria. El payload se sustituye reemplazando la cadena `{{payload}}` en la ruta URL, encabezados o cuerpo. Campos del placeholder `RawRequest`: * `method` * `path` * `headers` * `body` Campos requeridos para el placeholder `RawRequest`: * el campo `method` Ejemplo: ```yaml payload: - test encoder: - Plain placeholder: - RawRequest: method: "POST" path: "/" headers: Content-Type: "multipart/form-data; boundary=boundary" body: | --boundary Content-disposition: form-data; name="field1" Test --boundary Content-disposition: form-data; name="field2" Content-Type: text/plain; charset=utf-7 Knock knock. {{payload}} --boundary-- type: RawRequest test ``` * `type` es un nombre para todo el grupo de payloads en el archivo. Puede ser arbitrario, pero debe reflejar el tipo de ataques en el archivo. La generación de solicitudes es un proceso de tres pasos que implica la multiplicación de la cantidad de payloads por la cantidad de codificadores y placeholders. Supongamos que define 2 **payloads**, 3 **codificadores** (Base64, JSUnicode y URL) y 1 **placeholder** (URLParameter - parámetro GET HTTP). En este caso, GoTestWAF enviará 2x3x1 = 6 solicitudes en un caso de prueba. Durante el lanzamiento de GoTestWAF, también puede elegir casos de prueba entre dos incorporados: OWASP Top-10, OWASP-API, o los suyos propios (mediante la [opción de configuración](#configuration-options) `testCasePath`). ## Requisitos * GoTestWAF es compatible con todos los sistemas operativos populares (Linux, Windows, macOS) y se puede compilar de forma nativa si [Go](https://golang.org/doc/install) está instalado en el sistema. Si desea ejecutar GoTestWAF de forma nativa, asegúrese de tener el navegador Chrome para poder generar informes PDF. En caso de que no tenga Chrome, puede crear un informe en formato HTML. * Si ejecuta GoTestWAF como contenedor Docker, asegúrese de tener [Docker instalado y configurado](https://docs.docker.com/get-docker/), y que GoTestWAF y la solución de seguridad de aplicaciones evaluada estén conectados a la misma [red Docker](https://docs.docker.com/network/). * Para que GoTestWAF se inicie correctamente, asegúrese de que la dirección IP de la máquina que ejecuta GoTestWAF esté en la lista blanca en la máquina que ejecuta la solución de seguridad de aplicaciones. ## Inicio rápido con Docker Los pasos a continuación explican cómo descargar e iniciar GoTestWAF con una configuración mínima en Docker. 1. Obtenga la [imagen de GoTestWAF](https://hub.docker.com/r/wallarm/gotestwaf) desde Docker Hub: ``` docker pull wallarm/gotestwaf ``` 2. Inicie la imagen de GoTestWAF: ```sh docker run --rm --network="host" -it -v ${PWD}/reports:/app/reports \ wallarm/gotestwaf --url=<EVALUATED_SECURITY_SOLUTION_URL> ``` Si es necesario, puede reemplazar `${PWD}/reports` con la ruta a otra carpeta utilizada para colocar el informe de evaluación. Si no desea enviar opcionalmente el informe por correo electrónico, simplemente presione Enter después de que aparezca el mensaje de solicitud de correo electrónico, o use `--noEmailReport` para omitir el mensaje: ```sh docker run --rm --network="host" -v ${PWD}/reports:/app/reports \ wallarm/gotestwaf --url=<EVALUATED_SECURITY_SOLUTION_URL> --noEmailReport ``` Si la herramienta de seguridad evaluada está disponible externamente, puede omitir la opción `--network="host"`. Esta opción permite la interacción de contenedores Docker que se ejecutan en 127.0.0.1. Para realizar las pruebas gRPC, debe tener un endpoint funcional y usar la opción de línea de comandos `--grpcPort <port>`. ```sh docker run --rm --network="host" -it -v ${PWD}/reports:/app/reports \ wallarm/gotestwaf --grpcPort 9000 --url=http://my.grpc.endpoint ``` 3. Revise su correo electrónico para obtener el informe. Ha evaluado exitosamente su solución de seguridad de aplicaciones utilizando GoTestWAF con una configuración mínima. Para conocer opciones de configuración avanzadas, utilice este [enlace](#configuration-options). ## Comprobación de los resultados de la evaluación Revise los resultados de la evaluación registrados mediante los servicios `STDOUT` y `STDERR`. Por ejemplo:``` INFO[0000] GoTestWAF started version=v0.5.6-7-g48e6959 INFO[0000] Test cases loading started INFO[0000] Test cases loading finished INFO[0000] Test cases fingerprint fp=c6d14d6138601d19d215bb97806bcda3 INFO[0000] Try to identify WAF solution INFO[0000] WAF was not identified INFO[0000] gohttp is used as an HTTP client to make requests http_client=gohttp INFO[0000] WAF pre-check url="http://host.docker.internal:8080" INFO[0000] WAF pre-check blocked=true code=403 status=done INFO[0000] gRPC pre-check status=started INFO[0000] gRPC pre-check connection="not available" status=done INFO[0000] GraphQL pre-check status=started INFO[0000] GraphQL pre-check connection="not available" status=done INFO[0000] Scanning started url="http://host.docker.internal:8080" INFO[0005] Scanning finished duration=5.422700876s True-Positive Tests: ┌────────────┬───────────────────────────┬──────────────────────┬─────────────────────┬──────────────────────┬────────────────────┬─────────────┬─────────────────┐ │ TEST SET │ TEST CASE │ PERCENTAGE , % │ BLOCKED │ BYPASSED │ UNRESOLVED │ SENT │ FAILED │ ├────────────┼───────────────────────────┼──────────────────────┼─────────────────────┼──────────────────────┼────────────────────┼─────────────┼─────────────────┤ │ community │ community-128kb-rce │ 0.00 │ 0 │ 0 │ 1 │ 1 │ 0 │ │ community │ community-128kb-sqli │ 0.00 │ 0 │ 0 │ 1 │ 1 │ 0 │ │ community │ community-128kb-xss │ 0.00 │ 0 │ 0 │ 1 │ 1 │ 0 │ │ community │ community-16kb-rce │ 100.00 │ 1 │ 0 │ 0 │ 1 │ 0 │ │ community │ community-16kb-sqli │ 100.00 │ 1 │ 0 │ 0 │ 1 │ 0 │ │ community │ community-16kb-xss │ 100.00 │ 1 │ 0 │ 0 │ 1 │ 0 │ │ community │ community-32kb-rce │ 100.00 │ 1 │ 0 │ 0 │ 1 │ 0 │ │ community │ community-32kb-sqli │ 100.00 │ 1 │ 0 │ 0 │ 1 │ 0 │ │ community │ community-32kb-xss │ 100.00 │ 1 │ 0 │ 0 │ 1 │ 0 │ │ community │ community-64kb-rce │ 100.00 │ 1 │ 0 │ 0 │ 1 │ 0 │ │ community │ community-64kb-sqli │ 100.00 │ 1 │ 0 │ 0 │ 1 │ 0 │ │ community │ community-64kb-xss │ 100.00 │ 1 │ 0 │ 0 │ 1 │ 0 │ │ community │ community-8kb-rce │ 100.00 │ 1 │ 0 │ 0 │ 1 │ 0 │ │ community │ community-8kb-sqli │ 100.00 │ 1 │ 0 │ 0 │ 1 │ 0 │ │ community │ community-8kb-xss │ 100.00 │ 1 │ 0 │ 0 │ 1 │ 0 │ │ community │ community-lfi │ 100.00 │ 8 │ 0 │ 0 │ 8 │ 0 │ │ community │ community-lfi-multipart │ 0.00 │ 0 │ 0 │ 2 │ 2 │ 0 │ │ community │ community-rce │ 50.00 │ 2 │ 2 │ 0 │ 4 │ 0 │ │ community │ community-rce-rawrequests │ 100.00 │ 3 │ 0 │ 0 │ 3 │ 0 │ │ community │ community-sqli │ 100.00 │ 12 │ 0 │ 0 │ 12 │ 0 │ │ community │ community-user-agent │ 66.67 │ 6 │ 3 │ 0 │ 9 │ 0 │ │ community │ community-xss │ 88.46 │ 92 │ 12 │ 0 │ 104 │ 0 │ │ community │ community-xxe │ 0.00 │ 0 │ 1 │ 1 │ 2 │ 0 │ │ owasp │ crlf │ 85.71 │ 6 │ 1 │ 0 │ 7 │ 0 │ │ owasp │ ldap-injection │ 8.33 │ 2 │ 22 │ 0 │ 24 │ 0 │ │ owasp │ mail-injection │ 12.50 │ 3 │ 21 │ 0 │ 24 │ 0 │ │ owasp │ nosql-injection │ 24.00 │ 12 │ 38 │ 0 │ 50 │ 0 │ │ owasp │ path-traversal │ 30.00 │ 6 │ 14 │ 0 │ 20 │ 0 │ │ owasp │ rce │ 33.33 │ 2 │ 4 │ 0 │ 6 │ 0 │ │ owasp │ rce-urlparam │ 33.33 │ 3 │ 6 │ 0 │ 9 │ 0 │ │ owasp │ rce-urlpath │ 0.00 │ 0 │ 3 │ 0 │ 3 │ 0 │ │ owasp │ shell-injection │ 18.75 │ 6 │ 26 │ 0 │ 32 │ 0 │ │ owasp │ sql-injection │ 29.17 │ 14 │ 34 │ 0 │ 48 │ 0 │ │ owasp │ ss-include │ 50.00 │ 12 │ 12 │ 0 │ 24 │ 0 │ │ owasp │ sst-injection │ 29.17 │ 7 │ 17 │ 0 │ 24 │ 0 │ │ owasp │ xml-injection │ 0.00 │ 0 │ 7 │ 0 │ 7 │ 0 │ │ owasp │ xss-scripting │ 39.91 │ 89 │ 134 │ 1 │ 224 │ 0 │ │ owasp-api │ graphql │ 0.00 │ 0 │ 0 │ 0 │ 0 │ 0 │ │ owasp-api │ graphql-post │ 0.00 │ 0 │ 0 │ 0 │ 0 │ 0 │ │ owasp-api │ grpc │ 0.00 │ 0 │ 0 │ 0 │ 0 │ 0 │ │ owasp-api │ non-crud │ 100.00 │ 2 │ 0 │ 0 │ 2 │ 0 │ │ owasp-api │ rest │ 42.86 │ 3 │ 4 │ 0 │ 7 │ 0 │ │ owasp-api │ soap │ 20.00 │ 1 │ 4 │ 0 │ 5 │ 0 │ ├────────────┼───────────────────────────┼──────────────────────┼─────────────────────┼──────────────────────┼────────────────────┼─────────────┼─────────────────┤ │ Date: │ Project Name: │ True-Positive Score: │ Blocked (Resolved): │ Bypassed (Resolved): │ Unresolved (Sent): │ Total Sent: │ Failed (Total): │ │ 2025-07-14 │ generic │ 45.36% │ 303/668 (45.36%) │ 365/668 (54.64%) │ 7/675 (1.04%) │ 675 │ 0/675 (0.00%) │ └────────────┴───────────────────────────┴──────────────────────┴─────────────────────┴──────────────────────┴────────────────────┴─────────────┴─────────────────┘ True-Negative Tests: ┌────────────┬───────────────┬──────────────────────┬─────────────────────┬──────────────────────┬────────────────────┬─────────────┬─────────────────┐ │ TEST SET │ TEST CASE │ PERCENTAGE , % │ BLOCKED │ BYPASSED │ UNRESOLVED │ SENT │ FAILED │ ├────────────┼───────────────┼──────────────────────┼─────────────────────┼──────────────────────┼────────────────────┼─────────────┼─────────────────┤ │ false-pos │ texts │ 90.78 │ 13 │ 128 │ 0 │ 141 │ 0 │ ├────────────┼───────────────┼──────────────────────┼─────────────────────┼──────────────────────┼────────────────────┼─────────────┼─────────────────┤ │ Date: │ Project Name: │ True-Negative Score: │ Blocked (Resolved): │ Bypassed (Resolved): │ Unresolved (Sent): │ Total Sent: │ Failed (Total): │ │ 2025-07-14 │ generic │ 90.78% │ 13/141 (9.22%) │ 128/141 (90.78%) │ 0/141 (0.00%) │ 141 │ 0/141 (0.00%) │ └────────────┴───────────────┴──────────────────────┴─────────────────────┴──────────────────────┴────────────────────┴─────────────┴─────────────────┘ Summary: ┌──────────────────────┬───────────────────────────────┬──────────────────────────────┬─────────┐ │ TYPE │ TRUE - POSITIVE TESTS BLOCKED │ TRUE - NEGATIVE TESTS PASSED │ AVERAGE │ ├──────────────────────┼───────────────────────────────┼──────────────────────────────┼─────────┤ │ API Security │ 42.86% │ n/a │ 42.86% │ │ Application Security │ 45.41% │ 90.78% │ 68.10% │ ├──────────────────────┼───────────────────────────────┼──────────────────────────────┼─────────┤ │ │ │ Score │ 55.48% │ └──────────────────────┴───────────────────────────────┴──────────────────────────────┴─────────┘

GoTestWAF admite dos clientes HTTP para realizar solicitudes, seleccionables mediante la opción `--httpClient`. El cliente predeterminado es el cliente HTTP estándar de Golang. La segunda opción es Chrome, que se puede usar con el argumento de CLI `--httpClient=chrome`. Tenga en cuenta que en sistemas Linux, debe agregar el argumento `--cap-add=SYS_ADMIN` a los argumentos de Docker para ejecutar GoTestWAF con Chrome como ejecutor de solicitudes. ### Escaneo basado en archivo OpenAPI Para un mejor escaneo, GTW admite el envío de vectores maliciosos a través de solicitudes de aplicación válidas. En lugar de construir solicitudes de estructura simple y enviarlas a la URL especificada al inicio, GoTestWAF crea solicitudes válidas basadas en la descripción de la API de la aplicación en el formato OpenAPI 3.0. Cómo funciona: 1. GoTestWAF carga un archivo OpenAPI y construye plantillas de solicitudes. Todas las plantillas se dividen luego en grupos según los marcadores de posición que admiten (por ejemplo, si hay un parámetro de cadena en la ruta de la solicitud, dicha solicitud se asignará a un grupo de solicitudes que admiten el marcador de posición URLPath). 2. El siguiente vector malicioso se selecciona de la cola para su envío. En función del marcador de posición especificado para él, se seleccionan todas las plantillas de consulta en las que se puede sustituir este vector. A continuación, el vector se sustituye en la plantilla y se envía la solicitud. 3. Basándose en las posibles respuestas especificadas en el archivo OpenAPI, se determina si la solicitud fue bloqueada por el WAF o pasó a la aplicación. Si el estado del código de respuesta y su esquema coinciden con los descritos en el archivo OpenAPI, la solicitud se marca como omitida. De lo contrario, se marcará como bloqueada. Es posible que la aplicación solo responda con un código de estado, y este código de estado coincida con la respuesta del WAF. En ese caso, la solicitud se marcará como no resuelta. Algunas características compatibles de OpenAPI: * parámetros numéricos y de cadena en encabezados, rutas, parámetros de consulta y cuerpo de solicitudes; * los siguientes tipos de contenido son compatibles para el cuerpo de la solicitud: `application/json`, `application/xml`, `application/x-www-form-urlencoded`, `text/plain`; * los siguientes modificadores son compatibles para XML: `name`, `wrapped`, `attribute`, `prefix`, `namespace`; * los límites de longitud para cadenas son compatibles mediante los parámetros `minLength` y `maxLength`; * las restricciones de valor para números son compatibles mediante `minimum`, `maximum`, `exclusiveMinimum` y `exclusiveMaximum`; * las restricciones en la longitud de arreglos mediante `minItems` y `maxItems` son compatibles; * la combinación de esquemas mediante `oneOf`, `anyOf`, `allOf` es compatible. Según el principio de funcionamiento descrito, es extremadamente importante que el archivo OpenAPI represente correctamente la API de la aplicación implementada. Por lo tanto, por ejemplo, no se puede usar `default` para describir posibles respuestas a consultas. Nota: Debe reenviar el volumen con la especificación openapi al contenedor GoTestWAF.```sh -v ${PWD}/api.yaml:/app/api.yaml

gotestwaf

Más Populares

Demos

Otras opciones para ejecutar GoTestWAF

Configuration options```