Unwaf

Unwaf est un outil Go conçu pour aider à identifier les contournements de WAF en utilisant des techniques passives. Il automatise le processus de découverte de l'IP d'origine réelle derrière un WAF/CDN en combinant plusieurs méthodes de découverte et en vérifiant les candidats via une comparaison de similarité HTML, l'empreinte de certificat SSL et l'analyse des en-têtes HTTP.

Unwaf automatise les étapes que j'ai expliquées dans ce post LinkedIn : Passive WAF bypassing

Version actuelle : 3.0.0 — Voir CHANGELOG.md pour l'historique des versions.

Table des matières

• Fonctionnement
• Méthodes de découverte
• Méthodes de vérification
• Installation
• Utilisation
• Options
• Exemples
• Configuration
• Auteur
• Licence

Fonctionnement

1. CIDRs WAF dynamiques — Récupère les plages d'IP Cloudflare en direct et les combine avec des plages WAF/CDN codées en dur (y compris IPv6).
2. Confirmation du WAF — Résout les enregistrements A actuels du domaine, vérifie s'ils appartiennent à des plages WAF/CDN connues et effectue une empreinte via les en-têtes HTTP.
3. Hachage du favicon — Récupère favicon.ico et génère les hachages MD5, SHA256 et MMH3 (Shodan).
4. Découverte d'IP — Exécute toutes les méthodes activées (jusqu'à 15 sources) pour collecter les IP d'origine candidates.
5. Filtrage — Écarte les IP appartenant à des plages WAF/CDN connues et les IP qui correspondent à la résolution DNS actuelle du domaine.
6. Scan de ports — Vérifie les candidats sur 8 ports web courants en parallèle avec une barre de progression.
7. Vérification de l'origine — Pour chaque serveur web :
   • Récupère le HTML (IP directe + injection d'en-tête Host) et le compare à la référence
   • Compare les empreintes de certificat SSL sur les ports TLS
   • Compare les en-têtes de réponse HTTP
   • Calcule le score global (60 % HTML + 25 % cert + 15 % en-têtes ± statut)
8. Scan des voisins (optionnel) — Étend les IP de contournement confirmées aux sous-réseaux /24 et scanne les voisins.
9. Recherche ASN — Identifie l'ASN et l'organisation pour les IP de contournement confirmées.
10. Résultats — Signale les correspondances au-dessus du seuil avec les scores, les informations ASN et les commandes de vérification curl.

Méthodes de découverte

Méthodes de vérification

Installation

go install github.com/mmarting/unwaf@latest

Utilisation

unwaf -h

Options

Exemples

Vérifier un domaine (méthodes gratuites uniquement, aucune clé API nécessaire) :

unwaf -d example.com

Les domaines nus et les URL complètes fonctionnent :

unwaf -d https://example.com/path

Vérifier avec un fichier HTML sauvegardé manuellement (utile lorsque le WAF bloque l'outil) :

unwaf -d example.com -s original.html

Abaisser le seuil de similarité pour détecter les correspondances partielles :

unwaf -d example.com -t 40

Augmenter la concurrence pour un scan plus rapide :

unwaf -d example.com -w 100

Mode verbeux pour voir chaque sous-domaine/IP résolu :

unwaf -d example.com -v

Mode silencieux pour l'automatisation — affiche uniquement les IP, une par ligne :

unwaf -q -d example.com

Sortie JSON pour l'automatisation :

unwaf -d example.com --json

Mode batch avec une liste de domaines :

unwaf -l domains.txt --json -o results.json

Utiliser un proxy (Tor, Burp, etc.) :

unwaf -d example.com --proxy socks5://127.0.0.1:9050

Scanner les voisins /24 des IP de contournement :

unwaf -d example.com --scan-neighbors

Limiter les requêtes à 2/sec avec un délai d'expiration de 5s :

unwaf -d example.com --rate-limit 2 --timeout 5

Redirection vers d'autres outils

# Alimenter nuclei
unwaf -q -d target.com | nuclei -l - -t waf-bypass.yaml

# Alimenter httpx
unwaf -q -d target.com | httpx -silent

# Recon en batch
cat domains.txt | while read d; do unwaf -q -d "$d" | sed "s/^/$d,/"; done > results.csv

# JSON + jq
unwaf -d target.com --json | jq '.bypasses[].ip'

Configuration

Au premier lancement, Unwaf crée $HOME/.unwaf.conf avec ce modèle :

# Unwaf config file — API keys for optional discovery methods
# Free methods (SPF, MX, crt.sh, subdomains, OTX, RapidDNS, HackerTarget, Wayback) work without any keys.

# ViewDNS.info — DNS history (250 free requests, no credit card required)
viewdns=""

# SecurityTrails — DNS history (https://securitytrails.com/corp/api)
securitytrails=""

# Censys — SSL certificate search (requires a PAID license)
censys_token=""
censys_org_id=""

# AlienVault OTX — passive DNS (optional, raises rate limits)
otx_api_key=""

# Shodan — host search by SSL cert, hostname, favicon hash
shodan_api_key=""

# DNSDB/Farsight — historical DNS records (Community Edition: 500 queries/month free)
dnsdb_api_key=""

Auteur

Martín Martín

• Site web
• LinkedIn
• GitHub

Licence

Distribué sous la licence GPL v3.