Unwaf

Unwaf é uma ferramenta em Go projetada para ajudar a identificar bypasses de WAF usando técnicas passivas. Ela automatiza o processo de descoberta do IP de origem real por trás de um WAF/CDN, combinando múltiplos métodos de descoberta e verificando candidatos por meio de comparação de similaridade de HTML, fingerprinting de certificado SSL e análise de cabeçalhos HTTP.

Unwaf automatiza os passos que expliquei neste Post do LinkedIn: Passive WAF bypassing

Versão atual: 3.0.0 — Consulte CHANGELOG.md para o histórico de versões.

Índice

• Como Funciona
• Métodos de Descoberta
• Métodos de Verificação
• Instalação
• Uso
• Opções
• Exemplos
• Configuração
• Autor
• Licença

Como Funciona

1. CIDRs dinâmicos de WAF — Busca faixas de IP ativas da Cloudflare e combina com faixas de WAF/CDN codificadas (incluindo IPv6).
2. Confirmação de WAF — Resolve os registros A atuais do domínio, verifica se eles estão em faixas conhecidas de WAF/CDN e faz fingerprinting via cabeçalhos HTTP.
3. Hashing de Favicon — Busca o favicon.ico e gera hashes MD5, SHA256 e MMH3 (Shodan).
4. Descoberta de IP — Executa todos os métodos habilitados (até 15 fontes) para coletar IPs de origem candidatos.
5. Filtragem — Descarta IPs pertencentes a faixas conhecidas de WAF/CDN e IPs que correspondem à resolução DNS atual do domínio.
6. Varredura de Portas — Verifica candidatos em 8 portas web comuns de forma concorrente com barra de progresso.
7. Verificação de Origem — Para cada servidor web:
   • Busca o HTML (IP direto + injeção de cabeçalho Host) e compara com a referência
   • Compara fingerprints de certificado SSL em portas TLS
   • Compara cabeçalhos de resposta HTTP
   • Calcula a pontuação geral (60% HTML + 25% cert + 15% cabeçalhos ± status)
8. Varredura de Vizinhos (opcional) — Expande IPs de bypass confirmados para sub-redes /24 e varre os vizinhos.
9. Consulta de ASN — Identifica o ASN e a organização dos IPs de bypass confirmados.
10. Resultados — Reporta correspondências acima do limite com pontuações, informações de ASN e comandos de verificação curl.

Métodos de Descoberta

Métodos de Verificação

Instalação

go install github.com/mmarting/unwaf@latest

Uso

unwaf -h

Opções

Exemplos

Verificar um domínio (apenas métodos gratuitos, sem necessidade de chaves de API):

unwaf -d example.com

Tanto domínios simples quanto URLs completas funcionam:

unwaf -d https://example.com/path

Verificar com um arquivo HTML salvo manualmente (útil quando o WAF bloqueia a ferramenta):

unwaf -d example.com -s original.html

Reduzir o limite de similaridade para capturar correspondências parciais:

unwaf -d example.com -t 40

Aumentar a concorrência para varredura mais rápida:

unwaf -d example.com -w 100

Modo detalhado para ver cada subdomínio/IP resolvido:

unwaf -d example.com -v

Modo silencioso para automação — exibe apenas IPs, um por linha:

unwaf -q -d example.com

Saída JSON para automação:

unwaf -d example.com --json

Modo em lote com lista de domínios:

unwaf -l domains.txt --json -o results.json

Usar um proxy (Tor, Burp, etc.):

unwaf -d example.com --proxy socks5://127.0.0.1:9050

Varrer vizinhos /24 dos IPs de bypass:

unwaf -d example.com --scan-neighbors

Limitar requisições a 2/seg com timeout de 5s:

unwaf -d example.com --rate-limit 2 --timeout 5

Encadeando com outras ferramentas

# Feed into nuclei
unwaf -q -d target.com | nuclei -l - -t waf-bypass.yaml

# Feed into httpx
unwaf -q -d target.com | httpx -silent

# Batch recon
cat domains.txt | while read d; do unwaf -q -d "$d" | sed "s/^/$d,/"; done > results.csv

# JSON + jq
unwaf -d target.com --json | jq '.bypasses[].ip'

Configuração

Na primeira execução, o Unwaf cria $HOME/.unwaf.conf com este template:

# Unwaf config file — API keys for optional discovery methods
# Free methods (SPF, MX, crt.sh, subdomains, OTX, RapidDNS, HackerTarget, Wayback) work without any keys.

# ViewDNS.info — DNS history (250 free requests, no credit card required)
viewdns=""

# SecurityTrails — DNS history (https://securitytrails.com/corp/api)
securitytrails=""

# Censys — SSL certificate search (requires a PAID license)
censys_token=""
censys_org_id=""

# AlienVault OTX — passive DNS (optional, raises rate limits)
otx_api_key=""

# Shodan — host search by SSL cert, hostname, favicon hash
shodan_api_key=""

# DNSDB/Farsight — historical DNS records (Community Edition: 500 queries/month free)
dnsdb_api_key=""

Autor

Martín Martín

• Website
• LinkedIn
• GitHub

Licença

Distribuído sob a Licença GPL v3.