EvilWAF — это продвинутый прозрачный MITM-прокси для обхода межсетевых экранов и глубокий сканер уязвимостей WAF, предназначенный для авторизованного тестирования безопасности. Он работает на транспортном уровне — не изменяет полезную нагрузку, cookie или заголовки ваших инструментов. Работает с любым инструментом (например, ffuz, sqlmap, nuclei и др.), поддерживающим --proxy.

Возможности

Прокси и обход

Прозрачный MITM-прокси — работает с любым инструментом, поддерживающим --proxy. Не требует настройки на стороне инструмента.
Ротация TCP-отпечатка — изменяет параметры TCP-стека для каждого запроса, чтобы избежать поведенческого обнаружения.
Ротация TLS-отпечатка — изменяет TLS-отпечаток (в стиле JA3/JA4) в паре с TCP-профилями.
Ротация HTTP/2-отпечатка — для каждого запроса профили кадров H2 SETTINGS и HEADERS циклически меняются между профилями Chrome, Firefox, Safari и Edge, чтобы предотвратить поведенческое снятие отпечатка WAF.
Изменение исходного порта — меняет исходный порт для каждого запроса, нарушая отслеживание сессий WAF и счётчики ограничения частоты, которые полагаются на постоянство исходного порта.
Внедрение заголовков Cloudflare — внедряет внутренние заголовки Cloudflare (CF-Connecting-IP, CF-Ray, True-Client-IP) со специально сформированными значениями для проверки доверия WAF к заголовкам и попытки обхода IP-белого списка.
Ротация IP через Tor — направляет трафик через Tor и автоматически меняет выходной IP для каждого запроса.
Ротация IP через пул прокси — меняет IP для каждого запроса через внешний пул прокси.
Охотник за исходным IP — обнаруживает реальный IP сервера за WAF с помощью 10 параллельных сканеров:
- история DNS, анализ SSL-сертификатов, перебор поддоменов
- ошибки конфигурации DNS, обнаружение утечек в облаке, поиск утечек в GitHub
- утечки через HTTP-заголовки, хэш favicon, сканирование ASN-диапазонов, Censys
Автоопределение WAF — автоматически определяет производителя WAF перед началом обхода.
Прямой обход исходного сервера — после нахождения реального IP направляет весь трафик напрямую к серверу, полностью минуя WAF.
Полный HTTPS MITM — перехватывает и анализирует HTTPS-трафик с динамической генерацией сертификатов для каждого хоста.
Поддержка HTTP/2 и HTTP/1.1 — автоматически согласовывает ALPN и работает с обоими протоколами.
Советник по ответам — автоматически повторяет запросы при блокировках WAF (403, 429, 503) с применением различных техник.

Сканер уязвимостей WAF

Глубокий многоуровневый сканер WAF — рассматривает сам межсетевой экран как цель. Анализирует все защитные слои WAF одновременно в рамках 10 независимых слоёв сканирования:
- Layer 1 Network — обход виртуальных хостов, проверка чувствительных путей, манипуляции с заголовком Host
- Layer 2 RuleEngine — обнаружение пробелов в правилах на основе полезной нагрузки: SQLi, XSS, RCE, LFI
- Layer 3 RateLimit — тестирование применения ограничения частоты при всплесках и постоянной нагрузке
- Layer 4 Evasion — обход через кодирование и нормализацию с 10 вариантами кодирования для каждой полезной нагрузки
- Layer 5 Behavioural — анализ таймингов: tarpit, задержка JS-челленджа, обнаружение back-off
- Layer 6 Header — внедрение HTTP-заголовков и обход через подмену IP
- Layer 7 TLS — проверка версий TLS, обход SNI, снятие отпечатка сертификата
- Layer 8 MethodVerb — обход через HTTP-методы, включая методы WebDAV
- Layer 9 Session — манипуляции с cookie, обход аутентификации, проверки фиксации сессии
- Layer 10 Misconfig — обнаружение ошибок конфигурации WAF и утечек информации
Постоянная сессия — каждый скан объединяется с историческими JSON-данными предыдущих сканов. Уверенность растёт со временем: чем дольше вы сканируете, тем точнее результаты.
Статистический механизм уверенности — показатели уверенности по каждому слою вычисляются на основе среднего, стандартного отклонения и анализа стабильности. Результат с уверенностью 86% после 15 проверенных проходов — это реальная уязвимость, а не шум.
Проверка ложных срабатываний — каждый результат повторно воспроизводится на чистой базовой линии перед выдачей отчёта. Результаты, которые не воспроизводятся, автоматически исключаются.
C-расширение (_fast_scanner.c) — высокопроизводительное Python C-расширение для классификации, энтропийного анализа, обнаружения временных аномалий и горячих путей статистики.

Интерфейс

TUI-панель — терминальный интерфейс в реальном времени, показывающий живой трафик, активные техники, Tor-IP, исходные порты, пул прокси и результаты сканера по каждому слою.
Headless-режим — флаг --no-tui для скриптов и конвейеров CI/CD.
Режим только сканирования — флаг --scan-only для запуска сканера уязвимостей WAF отдельно, без запуска прокси.

О Cloudflare и исследованиях

Почему Cloudflare?

Cloudflare широко считается самым сложным Web Application Firewall в мире на сегодняшний день. Это не просто набор правил — это многоуровневая система защиты, сочетающая несколько технологий, работающих одновременно для защиты веб-приложений.

На сетевом уровне Cloudflare работает в сотнях дата-центров по всему миру, а это значит, что каждый запрос проходит через инфраструктуру, которая одновременно видит паттерны трафика миллионов веб-сайтов. Такая глобальная видимость — одно из самых мощных её преимуществ: Cloudflare может обнаружить атакующие паттерны, появляющиеся в любой точке мира, и в течение секунд развернуть меры защиты на всех защищаемых ресурсах.

На уровне инспекции Cloudflare анализирует запросы сразу по нескольким измерениям: TCP/IP-отпечаток, TLS-отпечаток, структура кадров HTTP/2, порядок заголовков, тайминг запроса, поведенческие паттерны между сессиями и содержимое полезной нагрузки. Ни один из этих сигналов по отдельности недостаточен для блокировки запроса, но Cloudflare коррелирует их все вместе, чтобы построить оценку риска для каждого запроса.

Компонент машинного обучения — это то, что делает Cloudflare принципиально отличным от традиционных WAF. В то время как сигнатурные WAF ищут известные вредоносные паттерны, ML-модели Cloudflare обучаются на петабайтах реального атакующего трафика. Они изучают, как выглядит легитимный браузерный трафик на транспортном уровне — точную последовательность TCP-опций, точную структуру TLS ClientHello, порядок кадров HTTP/2 SETTINGS — и помечают всё, что отклоняется от этого эталона, даже если сама полезная нагрузка выглядит чистой. Именно поэтому простого кодирования нагрузки или ротации заголовков недостаточно против Cloudflare. Обход должен происходить на транспортном уровне, а не на уровне приложения.

Почему Cloudflare сложно обойти?

Большинство техник обхода WAF нацелены на механизм правил: обфускация нагрузок, варианты кодирования, разбиение атакующих строк по параметрам. Эти техники работают против сигнатурных WAF, потому что такие WAF смотрят только на содержимое нагрузки.

evilwaf

Популярное