WAF Checker

यह प्रोजेक्ट आपको यह जाँचने में मदद करता है कि आपका Web Application Firewall (WAF) आपके उत्पाद को सामान्य वेब हमलों से कितनी अच्छी तरह सुरक्षित रखता है। इसे Cloudflare Worker (अंतर्निहित इंटरैक्टिव Web UI के साथ) के रूप में या एक स्टैंडअलोन Node.js CLI टूल के रूप में चलाया जा सकता है।

🧪 टेस्ट कवरेज और स्थिति

सभी पैकेज स्वचालित यूनिट, इंटीग्रेशन, प्रॉपर्टी-आधारित (fast-check fuzzing), नेटवर्क रेज़िलिएंस, और रिवर्स इंजीनियरिंग सूट (100% SSRF सुरक्षा अनुपालन, प्रोटोकॉल एवेज़न तकनीकें, और रिपोर्ट फ़ॉर्मेटर) के साथ पूरी तरह से परीक्षण किए गए हैं:

पैकेज	लाइन कवरेज	स्टेटमेंट्स	फ़ंक्शन्स	टेस्ट सूट
@waf-checker/core	93.0% 🟢	92.6%	96.4%	🟢 282 पासिंग
@waf-checker/cli	93.5% 🟢	92.8%	96.7%	🟢 54 पासिंग
@waf-checker/worker	पासिंग 🟢	—	—	🟢 30 पासिंग
कुल मोनोरेपो सूट	93.2%	92.7%	96.6%	🟢 366 टेस्ट पासिंग

विशेषताएँ

कोर टेस्टिंग

• लक्ष्य URL दर्ज करें, HTTP मेथड्स (GET, POST, आदि) और हमला श्रेणियाँ चुनें।
• हमला पेलोड के साथ अनुरोध भेजता है (पैरामीटर, हेडर, या फ़ाइल पथ के रूप में)।
• रंग-कोडित टर्मिनल और वेब परिणाम: 🟢 403/BLOCKED = ब्लॉक किया गया, 🔴 2xx/5xx = संभावित बायपास, 🟠 3xx = रीडायरेक्ट।
• परिणाम एक फ़िल्टर करने योग्य तालिका में प्रत्येक पेलोड के विवरण के साथ प्रदर्शित होते हैं।

🕵️ WAF रिवर्स इंजीनियरिंग और CRS मैट्रिक्स (--reverse)

• OWASP Core Rule Set (CRS v3/v4) मैपिंग: सक्रिय बनाम अक्षम रूल ID (920xxx, 921xxx, 930xxx, 931xxx, 932xxx, 933xxx, 934xxx, 941xxx, 942xxx, 943xxx, 944xxx) का Paranoia Levels (PL1-PL4) के साथ ऑडिट करता है।
• इंस्पेक्शन बॉडी लिमिट डिटेक्शन: बफ़र ट्रंकेशन सीमाओं की पहचान करने के लिए बाइनरी सर्च प्रोबिंग (8KB – 128KB, सटीकता ~1KB)।
• एनोमली स्कोरिंग मोड डिटेक्शन: सहयोगी स्कोरिंग मोड बनाम सख्त रेगेक्स ब्लॉकिंग मोड की जाँच करता है और स्कोर थ्रेशोल्ड की पहचान करता है।
• सुरक्षित रेट लिमिट प्रोबिंग: HTTP 429 पर तत्काल प्रारंभिक समाप्ति और Retry-After निष्कर्षण के साथ 30 req/s तक सुरक्षित रैंप-अप।

🛡️ WAF वर्चुअल पैचिंग और ऑटो-रिमेडिएशन (--patch / patch कमांड)

• तत्काल शमन: पाई गई WAF बायपास (HTTP 200) को स्वचालित रूप से तैनाती-योग्य फ़ायरवॉल नियमों, रिवर्स प्रॉक्सी कॉन्फ़िगरेशन और Infrastructure-as-Code (Terraform HCL / Cloud CLI) में बदल देता है।
• समर्थित प्लेटफ़ॉर्म (11 डायलेक्ट):
  • Cloudflare WAF: Wirefilter एक्सप्रेशन (http.request.uri.query contains ... / matches ...) और cloudflare_ruleset Terraform HCL।
  • AWS WAF v2: नेटिव JSON Rule Statements (ByteMatchStatement, RegexPatternSet, OrStatement) और aws_wafv2_rule_group Terraform HCL।
  • Google Cloud Armor: CEL एक्सप्रेशन (request.path.matches(...), request.headers[...]), gcloud compute security-policies CLI कमांड, और Terraform google_compute_security_policy।
  • Azure WAF (Front Door और App Gateway): कस्टम Rule JSON परिभाषाएँ, az network front-door waf-policy CLI कमांड, और Terraform azurerm_cdn_frontdoor_firewall_policy।
  • ModSecurity और OWASP Coraza: OWASP CRS-संगत SecRule निर्देश (SecLang) जिनमें @pm टोकन कोलैप्सिंग है। --patch modsecurity या --patch coraza के माध्यम से समर्थित।
  • NGINX: नेटिव location ~* \.(ext)$ { return 403; }, location ~ /\.(git|svn), और map कॉन्फ़िगरेशन ब्लॉक।
  • HAProxy: उच्च-प्रदर्शन नेटिव ACL (path_end -i, path_beg -i, query -m sub -i, req.hdr()) के साथ http-request deny deny_status 403।
  • Caddy Server: इडियोमैटिक Caddyfile नामित मैचर (@waf_patch_*) जिनमें CEL एक्सप्रेशन (expression {http.request.uri.query}.matches(...)) और respond 403 हैं।
  • Apache HTTP Server: httpd.conf, <VirtualHost>, या .htaccess के लिए mod_rewrite नियम (RewriteCond %{QUERY_STRING} / %{REQUEST_URI} / %{HTTP_USER_AGENT} + RewriteRule ^ - [F,L])। --patch apache के माध्यम से समर्थित।
  • Envoy Proxy: route_configuration virtual_host के लिए RE2 safe_regex के माध्यम से :path/हेडर से मेल खाने वाली रूट प्रविष्टियाँ, जिनमें direct_response: 403 (या सिम्युलेट मोड में forward-and-tag) है। --patch envoy के माध्यम से समर्थित।
  • Kubernetes Ingress (K8s): प्रोडक्शन-रेडी kind: Ingress YAML मैनिफ़ेस्ट जिनमें nginx.ingress.kubernetes.io/server-snippet एनोटेशन हैं।
• द्वि-स्तरीय रक्षा:
  • स्ट्रिक्ट हॉटफ़िक्स: तत्काल ज़ीरो-डे घटना प्रतिक्रिया के लिए 0% गलत सकारात्मक जोखिम वाले सटीक टोकन हस्ताक्षर।
  • ह्यूरिस्टिक पैटर्न: संपूर्ण भेद्यता वर्ग संरचना को कवर करने वाले सामान्यीकृत रेगुलर एक्सप्रेशन।
• वेब UI रिमेडिएशन स्टूडियो: सभी विक्रेताओं के लाइव प्रीव्यू, 1-क्लिक क्लिपबोर्ड कॉपी, फ़ॉर्मेट टॉगल और फ़ाइल एक्सपोर्ट के साथ इंटरैक्टिव डैशबोर्ड मोडल।

हमला श्रेणियाँ (कुल 28)

SQL इंजेक्शन, XSS, कमांड इंजेक्शन, पाथ ट्रैवर्सल, SSRF, लोकल फ़ाइल इंक्लूज़न, संवेदनशील फ़ाइलें, ओपन रीडायरेक्ट, SSTI, XXE, NoSQL इंजेक्शन, GraphQL इंजेक्शन, JWT हमला (हेडर), JWT हमला (पैराम), प्रोटोटाइप पॉल्यूशन (JSON बॉडी), प्रोटोटाइप पॉल्यूशन (URL/पैराम), LDAP इंजेक्शन, XPath इंजेक्शन, स्प्रेडशीट फ़ॉर्मूला इंजेक्शन, Log4Shell (JNDI), CRLF इंजेक्शन, HTTP पैरामीटर पॉल्यूशन, User-Agent, IP बायपास, HTTP रिक्वेस्ट स्मगलिंग, वेब कैश पॉइज़निंग, UTF8/Unicode बायपास, WAF इंस्पेक्शन लिमिट बायपास (पैडिंग)।

WAF डिटेक्शन

• परीक्षण से पहले WAF प्रकार का स्वतः पता लगाएँ (Cloudflare, AWS WAF, OWASP Coraza, BunkerWeb, ModSecurity, Akamai, Imperva, F5 BIG-IP, आदि)।
• पाई गई WAF के आधार पर विशिष्ट बायपास तकनीकों का सुझाव देता है।
• WAF-विशिष्ट उन्नत पेलोड पर स्वतः स्विच कर सकता है।

उन्नत पेलोड और एन्कोडिंग

• WAF बायपास पेलोड — डबल एन्कोडिंग, यूनिकोड, मिक्स्ड केस, कमेंट इंजेक्शन, पॉलीग्लॉट पेलोड।
• उन्नत पेलोड — आधुनिक एवेज़न तकनीकें।
• एन्कोडिंग विविधताएँ — URL, यूनिकोड, HTML एंटिटी, हेक्स, ऑक्टल, Base64 एन्कोडिंग के साथ स्वचालित संयोजन।
• Cloudflare, AWS WAF, ModSecurity के लिए WAF-विशिष्ट बायपास।

HTTP प्रोटोकॉल हेरफेर

• HTTP Verb Tampering — असामान्य HTTP विधियों का परीक्षण करें।
• Parameter Pollution — query/body में पैरामीटरों को डुप्लिकेट और विभाजित करें।
• Content-Type Confusion — नियमों को बायपास करने के लिए वैकल्पिक content types।
• Request Smuggling हेडर।
• Host Header Injection विविधताएँ।
• हेडर के माध्यम से HTTP Method Override (X-HTTP-Method-Override, आदि)।

बैच परीक्षण

• एक साथ कई URL का परीक्षण करें।
• कॉन्फ़िगर करने योग्य concurrency और अनुरोधों के बीच विलंब।
• रीयल-टाइम प्रगति ट्रैकिंग।

🔀 Regression Diffing (--compare / --fail-on-regression)

• पहले से सहेजी गई JSON रिपोर्ट के विरुद्ध स्कैन का diff करके नए bypasses (पहले ब्लॉक किए गए, अब नहीं), नए ब्लॉक किए गए payloads, और जोड़े/हटाए गए परीक्षणों को सामने लाएँ।
• CI गेट (--fail-on-regression) जो केवल बिगड़ती WAF स्थिति पर विफल होता है, पूरी परिणाम सूची पर नहीं — managed-ruleset drift को पकड़ने के लिए आदर्श।

---

प्रोजेक्ट संरचना

प्रोजेक्ट एक NPM Workspaces monorepo के रूप में संरचित है: