EvilWAF एक उन्नत ट्रांसपेरेंट MITM फ़ायरवॉल बायपास प्रॉक्सी और गहरा WAF भेद्यता स्कैनर है, जिसे अधिकृत सुरक्षा परीक्षण के लिए डिज़ाइन किया गया है। यह ट्रांसपोर्ट लेयर पर काम करता है — यह आपके टूल्स के पेलोड, कुकीज़ या हेडर को नहीं छूता है। --proxy सपोर्ट करने वाले किसी भी टूल (जैसे ffuz, sqlmap, nuclei आदि) के साथ काम करता है।

विशेषताएँ

प्रॉक्सी और बायपास

ट्रांसपेरेंट MITM प्रॉक्सी — --proxy सपोर्ट करने वाले किसी भी टूल के साथ काम करता है। टूल की तरफ से शून्य कॉन्फ़िगरेशन।
TCP फ़िंगरप्रिंट रोटेशन — व्यवहारिक पहचान से बचने के लिए प्रति अनुरोध TCP स्टैक विकल्पों को घुमाता है।
TLS फ़िंगरप्रिंट रोटेशन — TCP प्रोफ़ाइल के साथ युग्मित TLS फ़िंगरप्रिंट (JA3/JA4 शैली) को घुमाता है।
HTTP/2 फ़िंगरप्रिंट रोटेशन — WAF व्यवहारिक फ़िंगरप्रिंटिंग को रोकने के लिए Chrome, Firefox, Safari और Edge प्रोफ़ाइलों के माध्यम से प्रति-अनुरोध H2 SETTINGS और HEADERS फ्रेम प्रोफ़ाइल रोटेशन।
सोर्स पोर्ट हेरफेर — प्रति अनुरोध सोर्स पोर्ट को घुमाता है, जिससे सोर्स पोर्ट स्थिरता पर निर्भर WAF सत्र ट्रैकिंग और रेट-लिमिट काउंटर टूट जाते हैं।
Cloudflare हेडर इंजेक्शन — WAF हेडर विश्वास का परीक्षण करने और IP अनुमतिसूची बायपास का प्रयास करने के लिए गढ़े गए मानों के साथ Cloudflare-विशिष्ट आंतरिक हेडर (CF-Connecting-IP, CF-Ray, True-Client-IP) इंजेक्ट करता है।
Tor IP रोटेशन — ट्रैफ़िक को Tor के माध्यम से रूट करता है और हर अनुरोध पर एग्ज़िट IP स्वचालित रूप से घुमाता है।
प्रॉक्सी पूल IP रोटेशन — बाहरी प्रॉक्सी पूल के माध्यम से हर अनुरोध पर IP घुमाता है।
ओरिजिन IP हंटर — 10 समानांतर स्कैनरों का उपयोग करके WAF के पीछे वास्तविक सर्वर IP खोजता है:
- DNS इतिहास, SSL प्रमाणपत्र विश्लेषण, सबडोमेन गणना
- DNS गलत कॉन्फ़िगरेशन, क्लाउड लीक पता लगाना, GitHub लीक खोज
- HTTP हेडर लीक, फ़ेविकॉन हैश, ASN रेंज स्कैन, Censys
ऑटो WAF पहचान — बायपास शुरू होने से पहले WAF विक्रेता का स्वचालित रूप से पता लगाता है।
डायरेक्ट ओरिजिन बायपास — असली IP मिलने पर, WAF को पूरी तरह छोड़ते हुए सभी ट्रैफ़िक को सीधे सर्वर पर रूट करता है।
फुल HTTPS MITM — प्रति होस्ट गतिशील प्रमाणपत्र निर्माण के साथ HTTPS ट्रैफ़िक को इंटरसेप्ट और निरीक्षण करता है।
HTTP/2 और HTTP/1.1 सपोर्ट — ALPN की स्वचालित रूप से नेगोशिएट करता है और दोनों प्रोटोकॉल को संभालता है।
रिस्पॉन्स एडवाइज़र — WAF ब्लॉक (403, 429, 503) पर विभिन्न तकनीकों के साथ स्वचालित रूप से पुनः प्रयास करता है।

WAF भेद्यता स्कैनर

डीप मल्टी-लेयर WAF स्कैनर — फ़ायरवॉल को ही लक्ष्य मानता है। 10 स्वतंत्र स्कैनिंग लेयरों में सभी WAF रक्षात्मक लेयरों का एक साथ विश्लेषण करता है:
- Layer 1 Network — वर्चुअल होस्ट बायपास, संवेदनशील पथ जांच, Host हेडर हेरफेर
- Layer 2 RuleEngine — पेलोड-आधारित नियम-अंतराल पहचान: SQLi, XSS, RCE, LFI
- Layer 3 RateLimit — बर्स्ट और निरंतर रेट-लिमिट प्रवर्तन परीक्षण
- Layer 4 Evasion — प्रति पेलोड 10 एन्कोडिंग वेरिएंट के साथ एन्कोडिंग और सामान्यीकरण बायपास
- Layer 5 Behavioural — समय विश्लेषण: टारपिट, JS चुनौती विलंब, बैक-ऑफ पहचान
- Layer 6 Header — HTTP हेडर इंजेक्शन और IP स्पूफिंग बायपास
- Layer 7 TLS — TLS वर्जन प्रोबिंग, SNI बायपास, प्रमाणपत्र फ़िंगरप्रिंटिंग
- Layer 8 MethodVerb — WebDAV विधियों सहित HTTP विधि बायपास
- Layer 9 Session — कुकी हेरफेर, प्रमाणीकरण बायपास, सत्र फिक्सेशन जांच
- Layer 10 Misconfig — WAF गलत कॉन्फ़िगरेशन और सूचना लीक पहचान
पर्सिस्टेंट सत्र — प्रत्येक स्कैन पिछले स्कैन के ऐतिहासिक JSON डेटा के साथ विलीन हो जाता है। समय के साथ विश्वास बढ़ता है — जितनी देर स्कैन करेंगे, परिणाम उतने ही सटीक होंगे।
सांख्यिकीय विश्वास इंजन — माध्य, मानक विचलन और स्थिरता विश्लेषण का उपयोग करके प्रति-लेयर विश्वास स्कोर की गणना की जाती है। 15 सत्यापित पासों के बाद 86% विश्वास पर एक निष्कर्ष वास्तविक भेद्यता है, शोर नहीं।
गलत सकारात्मक सत्यापन — रिपोर्ट करने से पहले हर निष्कर्ष को एक स्वच्छ आधार रेखा के विरुद्ध दोबारा चलाया जाता है। जो निष्कर्ष दोबारा नहीं बनते उन्हें स्वचालित रूप से बाहर कर दिया जाता है।
C एक्सटेंशन (_fast_scanner.c) — वर्गीकरण, एन्ट्रॉपी विश्लेषण, समय विसंगति पहचान और सांख्यिकी हॉट पाथ के लिए उच्च-प्रदर्शन Python C एक्सटेंशन।

इंटरफ़ेस

TUI डैशबोर्ड — रीयल-टाइम टर्मिनल UI जो लाइव ट्रैफ़िक, सक्रिय तकनीकों, Tor IP, सोर्स पोर्ट, प्रॉक्सी पूल और प्रति लेयर स्कैनर निष्कर्ष दिखाता है।
हेडलेस मोड — स्क्रिप्टिंग और CI/CD पाइपलाइनों के लिए --no-tui फ़्लैग।
केवल-स्कैन मोड — प्रॉक्सी शुरू किए बिना WAF भेद्यता स्कैनर को स्टैंडअलोन चलाने के लिए --scan-only।

Cloudflare और शोध के बारे में

Cloudflare क्यों?

Cloudflare को आज दुनिया का सबसे परिष्कृत वेब एप्लिकेशन फ़ायरवॉल माना जाता है। यह केवल नियमों का एक समूह नहीं है — यह एक बहु-स्तरीय रक्षा प्रणाली है जो वेब एप्लिकेशनों की सुरक्षा के लिए एक साथ काम करने वाली कई तकनीकों को जोड़ती है।

नेटवर्क स्तर पर, Cloudflare वैश्विक स्तर पर सैकड़ों डेटा केंद्रों में संचालित होता है, जिसका अर्थ है कि हर अनुरोध उस बुनियादी ढांचे से गुजरता है जिसे एक साथ लाखों वेबसाइटों के ट्रैफ़िक पैटर्न की दृश्यता होती है। यह वैश्विक दृश्यता इसके सबसे शक्तिशाली लाभों में से एक है — यह दुनिया में कहीं भी उभरते हमले के पैटर्न का पता लगा सकता है और सेकंडों में सभी संरक्षित संपत्तियों पर शमन तैनात कर सकता है।

निरीक्षण स्तर पर, Cloudflare अनुरोधों का एक साथ कई आयामों में विश्लेषण करता है: TCP/IP फ़िंगरप्रिंट, TLS फ़िंगरप्रिंट, HTTP/2 फ्रेम संरचना, हेडर क्रम, अनुरोध समय, सत्रों में व्यवहारिक पैटर्न और पेलोड सामग्री। इनमें से कोई भी एक संकेत अकेले अनुरोध को ब्लॉक करने के लिए पर्याप्त नहीं है, लेकिन Cloudflare प्रति अनुरोध जोखिम स्कोर बनाने के लिए उन सभी को एक साथ सहसंबंधित करता है।

मशीन लर्निंग घटक ही वह चीज़ है जो Cloudflare को पारंपरिक WAF से मौलिक रूप से अलग बनाती है। जहाँ नियम-आधारित WAF ज्ञात खराब पैटर्न की तलाश करते हैं, वहीं Cloudflare के ML मॉडल वास्तविक हमले वाले ट्रैफ़िक के पेटाबाइट्स पर प्रशिक्षित होते हैं। वे सीखते हैं कि ट्रांसपोर्ट लेयर पर वैध ब्राउज़र ट्रैफ़िक कैसा दिखता है — TCP विकल्पों का सटीक क्रम, TLS ClientHello की सटीक संरचना, HTTP/2 SETTINGS फ्रेम का क्रम — और उस आधार रेखा से विचलित होने वाली किसी भी चीज़ को फ़्लैग करते हैं, भले ही पेलोड स्वयं साफ़ दिखे। यही कारण है कि Cloudflare के विरुद्ध केवल पेलोड को एन्कोड करना या हेडर घुमाना पर्याप्त नहीं है। बायपास को ट्रांसपोर्ट लेयर पर होना चाहिए, एप्लिकेशन लेयर पर नहीं।

Cloudflare को बायपास करना कठिन क्यों है?

अधिकांश WAF बायपास तकनीकें नियम इंजन को लक्षित करती हैं — पेलोड को अस्पष्ट करना, एन्कोडिंग वेरिएंट का उपयोग करना, पैरामीटरों में हमले की स्ट्रिंग को विभाजित करना। ये तकनीकें सिग्नेचर-आधारित WAF के विरुद्ध काम करती हैं क्योंकि वे WAF केवल पेलोड सामग्री को देखते हैं।

Cloudflare की रक्षा पेलोड का निरीक्षण होने से पहले ही काम करती है। Python HTTP लाइब्रेरी से आया अनुरोध, भले ही पूरी तरह से हानिरहित पेलोड भेज रहा हो, चुनौती दी जा सकती है या ब्लॉक किया जा सकता है क्योंकि TLS फ़िंगरप्रिंट किसी ज्ञात ब्राउज़र से मेल नहीं खाता। इसका मतलब है कि अनुरोध करने वाले टूल की पहचान सामग्री का विश्लेषण होने से पहले ही हो जाती है। Cloudflare इसे व्यवहारिक फ़िंगरप्रिंटिंग कहता है, और यह प्राथमिक कारण है कि मानक पैठ परीक्षण उपकरण इसके विरुद्ध विफल हो जाते हैं, भले ही अंतर्निहित पेलोड सही हों।

Cloudflare पर रेट लिमिटिंग भी बुद्धिमान है — यह केवल प्रति सेकंड प्रति IP अनुरोधों का काउंटर नहीं है। यह सत्रों में अनुरोध पैटर्न को ट्रैक करता है, समान ASN साझा करने वाले IP में व्यवहार को सहसंबंधित करता है, और हार्ड ब्लॉक के बजाय क्रमिक चुनौतियाँ लागू करता है, जिससे स्वचालित परीक्षण के माध्यम से सीमा का पता लगाना कठिन हो जाता है।

evilwaf

सबसे लोकप्रिय