WAF 검사기

이 프로젝트는 웹 애플리케이션 방화벽(WAF)이 일반적인 웹 공격으로부터 제품을 얼마나 잘 보호하는지 확인하는 데 도움을 줍니다. Cloudflare Worker(내장 대화형 웹 UI 포함)로 실행하거나 독립형 Node.js CLI 도구로 실행할 수 있습니다.

기능

핵심 테스트

• 대상 URL 입력, HTTP 메서드(GET, POST 등) 및 공격 카테고리 선택.
• 공격 페이로드(파라미터, 헤더 또는 파일 경로)를 포함한 요청 전송.
• 터미널 및 웹 결과에 색상 코드 표시: 🟢 403/BLOCKED = 차단됨, 🔴 2xx/5xx = 우회 가능, 🟠 3xx = 리디렉션.
• 각 페이로드에 대한 세부 정보가 포함된 필터 가능한 테이블에 결과 표시.

공격 카테고리 (총 19개)

SQL 인젝션, XSS, 경로 탐색, 명령 인젝션, SSRF, NoSQL 인젝션, 로컬 파일 인클루전, LDAP 인젝션, HTTP 요청 스머글링, 오픈 리다이렉트, 민감 파일, CRLF 인젝션, UTF8/유니코드 우회, XXE, SSTI, HTTP 파라미터 오염, 웹 캐시 포이즈닝, IP 우회, User-Agent.

WAF 탐지

• 테스트 전 WAF 유형 자동 탐지 (Cloudflare, AWS WAF, ModSecurity, Akamai, Imperva, F5 BIG-IP 등).
• 탐지된 WAF 기반 특정 우회 기법 제안.
• WAF 특화 고급 페이로드로 자동 전환 가능.

고급 페이로드 및 인코딩

• WAF 우회 페이로드 — 이중 인코딩, 유니코드, 대소문자 혼합, 주석 삽입, 폴리글롯 페이로드.
• 강화된 페이로드 — 최신 회피 기법.
• 인코딩 변형 — URL, 유니코드, HTML 엔터티, Hex, Octal, Base64 인코딩 및 자동 조합.
• Cloudflare, AWS WAF, ModSecurity 대상 WAF 특화 우회.

HTTP 프로토콜 조작

• HTTP 동사 변조 — 일반적이지 않은 HTTP 메서드 테스트.
• 파라미터 오염 — 쿼리/본문 간 파라미터 중복 및 분할.
• 콘텐츠 타입 혼동 — 규칙 우회를 위한 대체 콘텐츠 타입.
• 요청 스머글링 헤더.
• 호스트 헤더 인젝션 변형.
• 헤더를 통한 HTTP 메서드 오버라이드 (X-HTTP-Method-Override 등).

배치 테스트

• 여러 URL을 한 번에 테스트.
• 요청 간 동시 실행 수 및 지연 시간 설정 가능.
• 실시간 진행 상황 추적.

프로젝트 구조

프로젝트는 NPM Workspaces 모노레포로 구성되어 있습니다:

• packages/core/: 핵심 보안 테스트 라이브러리, 페이로드 정의, WAF 지문 서명 및 난독화 인코더.
• packages/worker/: 정적 HTML/JS 웹 UI 및 JSON API 엔드포인트를 제공하는 Cloudflare Worker 패키지.
• packages/cli/: 터미널에서 직접 감사를 실행하기 위한 Node.js 커맨드라인 인터페이스 도구.

설치 및 빌드

루트 디렉터리에서 의존성을 설치하고 모든 워크스페이스를 빌드합니다:

npm install
npm run build

실행 방법

1. 웹 버전 (Cloudflare Worker)

Worker 개발 서버를 로컬에서 실행하려면 (Wrangler 필요):

npm run dev:worker

웹 UI는 http://localhost:8787에서 접근 가능합니다 (8787 포트가 사용 중이면 다른 포트).

Worker를 Cloudflare에 배포하려면:

npx wrangler deploy --workspace=packages/worker

2. CLI 버전 (Node.js)

보안 테스트 감사를 명령줄에서 직접 실행하려면:

# 일반 CLI 도움말 및 사용법 출력
node packages/cli/dist/index.js --help

# check 명령 도움말 출력 (모든 메서드, 카테고리, WAF 공급업체 나열)
node packages/cli/dist/index.js check --help

WAF 탐지

대상 URL 뒤에 있는 WAF 공급업체 탐지:

node packages/cli/dist/index.js detect <url>

취약점 페이로드 감사

대상 URL에 대한 감사 실행:

# 기본 검사 (GET 메서드, 모든 페이로드 카테고리)
node packages/cli/dist/index.js check https://example.com

# 특정 메서드, 카테고리 및 WAF 회피 활성화를 사용한 사용자 지정 검사
node packages/cli/dist/index.js check https://example.com -m GET,POST -c "SQL Injection,XSS" --auto-detect-waf --encoding-variations

배치 감사

파일에 정의된 URL 목록에 대한 배치 감사 실행:

node packages/cli/dist/index.js batch targets.txt --concurrency 3

3. Docker 버전

사전 빌드된 이미지를 GitHub Container Registry에서 가져오거나 로컬에서 빌드하여 Docker로 CLI를 실행할 수 있습니다.

사전 빌드된 이미지 사용 (권장)

사전 빌드된 Docker 이미지는 GitHub Container Registry의 ghcr.io/sech0us3/waf-checker-cli에서 사용할 수 있습니다.

이미지 가져오기

docker pull ghcr.io/sech0us3/waf-checker-cli:latest

도움말 출력

docker run --rm ghcr.io/sech0us3/waf-checker-cli:latest --help

검사 실행

docker run --rm -it ghcr.io/sech0us3/waf-checker-cli:latest check https://example.com

배치 감사 실행 (로컬 디렉터리 마운트)

docker run --rm -it -v "$(pwd):/data" ghcr.io/sech0us3/waf-checker-cli:latest batch /data/targets.txt --concurrency 3

로컬 빌드

이미지 빌드

docker build -t waf-checker-cli .

도움말 출력

docker run --rm waf-checker-cli --help

검사 실행

docker run --rm -it waf-checker-cli check https://example.com

배치 감사 실행 (로컬 디렉터리 마운트)

docker run --rm -it -v "$(pwd):/data" waf-checker-cli batch /data/targets.txt --concurrency 3

테스트

워크스페이스 전체 테스트 스위트 실행 (Vitest 사용):

npm test

제 블로그를 읽어보세요: yoursec.substack.com