Unwaf

Unwaf è uno strumento Go progettato per aiutare a identificare bypass dei WAF utilizzando tecniche passive. Automatizza il processo di scoperta dell'IP di origine reale dietro un WAF/CDN combinando molteplici metodi di discovery e verificando i candidati tramite confronto di similarità HTML, fingerprinting dei certificati SSL e analisi degli header HTTP.

Unwaf automatizza i passaggi che ho spiegato in questo post su LinkedIn: Passive WAF bypassing

Versione attuale: 3.0.0 — Vedi CHANGELOG.md per la cronologia delle versioni.

Indice

• Come funziona
• Metodi di discovery
• Metodi di verifica
• Installazione
• Utilizzo
• Opzioni
• Esempi
• Configurazione
• Autore
• Licenza

Come funziona

1. CIDR WAF dinamici — Recupera gli intervalli IP Cloudflare live e li combina con intervalli WAF/CDN hardcoded (inclusi IPv6).
2. Conferma WAF — Risolve i record A attuali del dominio, verifica se rientrano in intervalli WAF/CDN noti ed esegue il fingerprinting tramite header HTTP.
3. Hashing del favicon — Recupera favicon.ico e genera hash MD5, SHA256 e MMH3 (Shodan).
4. Discovery degli IP — Esegue tutti i metodi abilitati (fino a 15 fonti) per raccogliere IP di origine candidati.
5. Filtraggio — Scarta gli IP appartenenti a intervalli WAF/CDN noti e gli IP che corrispondono alla risoluzione DNS attuale del dominio.
6. Scansione delle porte — Verifica i candidati su 8 porte web comuni in modo concorrente con barra di avanzamento.
7. Verifica dell'origine — Per ogni web server:
   • Recupera l'HTML (IP diretto + iniezione dell'header Host) e lo confronta con il riferimento
   • Confronta i fingerprint dei certificati SSL sulle porte TLS
   • Confronta gli header di risposta HTTP
   • Calcola il punteggio complessivo (60% HTML + 25% cert + 15% header ± status)
8. Scansione dei neighbor (opzionale) — Espande gli IP di bypass confermati a subnet /24 e scansiona i vicini.
9. Lookup ASN — Identifica ASN e organizzazione per gli IP di bypass confermati.
10. Risultati — Riporta le corrispondenze sopra la soglia con punteggi, informazioni ASN e comandi di verifica curl.

Metodi di discovery

Metodi di verifica

Installazione

go install github.com/mmarting/unwaf@latest

Utilizzo

unwaf -h

Opzioni

Esempi

Verifica un dominio (solo metodi gratuiti, nessuna API key necessaria):

unwaf -d example.com

Funzionano sia i domini nudi che gli URL completi:

unwaf -d https://example.com/path

Verifica con un file HTML salvato manualmente (utile quando il WAF blocca lo strumento):

unwaf -d example.com -s original.html

Abbassa la soglia di similarità per catturare corrispondenze parziali:

unwaf -d example.com -t 40

Aumenta la concorrenza per una scansione più veloce:

unwaf -d example.com -w 100

Modalità dettagliata per vedere ogni sottodominio/IP risolto:

unwaf -d example.com -v

Modalità silenziosa per l'automazione — restituisce solo IP, uno per riga:

unwaf -q -d example.com

Output JSON per l'automazione:

unwaf -d example.com --json

Modalità batch con lista di domini:

unwaf -l domains.txt --json -o results.json

Usa un proxy (Tor, Burp, ecc.):

unwaf -d example.com --proxy socks5://127.0.0.1:9050

Scansiona i neighbor /24 degli IP di bypass:

unwaf -d example.com --scan-neighbors

Limita le richieste a 2/sec con un timeout di 5s:

unwaf -d example.com --rate-limit 2 --timeout 5

Piping verso altri strumenti

# Feed into nuclei
unwaf -q -d target.com | nuclei -l - -t waf-bypass.yaml

# Feed into httpx
unwaf -q -d target.com | httpx -silent

# Batch recon
cat domains.txt | while read d; do unwaf -q -d "$d" | sed "s/^/$d,/"; done > results.csv

# JSON + jq
unwaf -d target.com --json | jq '.bypasses[].ip'

Configurazione

Al primo avvio, Unwaf crea $HOME/.unwaf.conf con questo template:

# Unwaf config file — API keys for optional discovery methods
# Free methods (SPF, MX, crt.sh, subdomains, OTX, RapidDNS, HackerTarget, Wayback) work without any keys.

# ViewDNS.info — DNS history (250 free requests, no credit card required)
viewdns=""

# SecurityTrails — DNS history (https://securitytrails.com/corp/api)
securitytrails=""

# Censys — SSL certificate search (requires a PAID license)
censys_token=""
censys_org_id=""

# AlienVault OTX — passive DNS (optional, raises rate limits)
otx_api_key=""

# Shodan — host search by SSL cert, hostname, favicon hash
shodan_api_key=""

# DNSDB/Farsight — historical DNS records (Community Edition: 500 queries/month free)
dnsdb_api_key=""

Autore

Martín Martín

• Website
• LinkedIn
• GitHub

Licenza

Distribuito sotto la Licenza GPL v3.