Unwaf

Unwaf — это инструмент на Go, предназначенный для выявления обходов WAF с использованием пассивных техник. Он автоматизирует процесс поиска реального исходного IP-адреса за WAF/CDN, комбинируя несколько методов обнаружения и проверяя кандидатов путём сравнения схожести HTML, фингерпринтинга SSL-сертификатов и анализа HTTP-заголовков.

Unwaf автоматизирует шаги, которые я описал в этом посте в LinkedIn: Passive WAF bypassing

Текущая версия: 3.0.0 — см. CHANGELOG.md для истории версий.

Содержание

• Как это работает
• Методы обнаружения
• Методы проверки
• Установка
• Использование
• Опции
• Примеры
• Конфигурация
• Автор
• Лицензия

Как это работает

1. Динамические WAF CIDR — Получает актуальные диапазоны IP Cloudflare и объединяет их с захардкоженными диапазонами WAF/CDN (включая IPv6).
2. Подтверждение WAF — Разрешает текущие A-записи домена, проверяет, попадают ли они в известные диапазоны WAF/CDN, и выполняет фингерпринтинг через HTTP-заголовки.
3. Хеширование favicon — Получает favicon.ico и генерирует хеши MD5, SHA256 и MMH3 (Shodan).
4. Обнаружение IP — Запускает все включённые методы (до 15 источников) для сбора IP-адресов-кандидатов исходного сервера.
5. Фильтрация — Отбрасывает IP-адреса, принадлежащие известным диапазонам WAF/CDN, и IP-адреса, совпадающие с текущим DNS-разрешением домена.
6. Сканирование портов — Проверяет кандидатов на 8 распространённых веб-портах параллельно с индикатором прогресса.
7. Проверка исходного сервера — Для каждого веб-сервера:
   • Получает HTML (напрямую по IP + с инъекцией заголовка Host) и сравнивает с эталоном
   • Сравнивает фингерпринты SSL-сертификатов на TLS-портах
   • Сравнивает HTTP-заголовки ответа
   • Вычисляет итоговую оценку (60% HTML + 25% сертификат + 15% заголовки ± статус)
8. Сканирование соседей (опционально) — Расширяет подтверждённые IP-адреса обхода до подсетей /24 и сканирует соседей.
9. Поиск ASN — Определяет ASN и организацию для подтверждённых IP-адресов обхода.
10. Результаты — Выводит совпадения выше порога с оценками, информацией об ASN и командами проверки через curl.

Методы обнаружения

Методы проверки

Установка

go install github.com/mmarting/unwaf@latest

Использование

unwaf -h

Опции

Примеры

Проверить домен (только бесплатные методы, API-ключи не нужны):

unwaf -d example.com

Работают как голые домены, так и полные URL:

unwaf -d https://example.com/path

Проверка с вручную сохранённым HTML-файлом (полезно, когда WAF блокирует инструмент):

unwaf -d example.com -s original.html

Понизить порог схожести для отлова частичных совпадений:

unwaf -d example.com -t 40

Увеличить параллелизм для более быстрого сканирования:

unwaf -d example.com -w 100

Подробный режим для просмотра каждого разрешённого поддомена/IP:

unwaf -d example.com -v

Тихий режим для автоматизации — выводит только IP-адреса, по одному в строке:

unwaf -q -d example.com

Вывод JSON для автоматизации:

unwaf -d example.com --json

Пакетный режим со списком доменов:

unwaf -l domains.txt --json -o results.json

Использовать прокси (Tor, Burp и т.д.):

unwaf -d example.com --proxy socks5://127.0.0.1:9050

Сканировать соседей /24 IP-адресов обхода:

unwaf -d example.com --scan-neighbors

Ограничить запросы до 2/сек с таймаутом 5с:

unwaf -d example.com --rate-limit 2 --timeout 5

Передача в другие инструменты

# Feed into nuclei
unwaf -q -d target.com | nuclei -l - -t waf-bypass.yaml

# Feed into httpx
unwaf -q -d target.com | httpx -silent

# Batch recon
cat domains.txt | while read d; do unwaf -q -d "$d" | sed "s/^/$d,/"; done > results.csv

# JSON + jq
unwaf -d target.com --json | jq '.bypasses[].ip'

Конфигурация

При первом запуске Unwaf создаёт $HOME/.unwaf.conf со следующим шаблоном:

# Unwaf config file — API keys for optional discovery methods
# Free methods (SPF, MX, crt.sh, subdomains, OTX, RapidDNS, HackerTarget, Wayback) work without any keys.

# ViewDNS.info — DNS history (250 free requests, no credit card required)
viewdns=""

# SecurityTrails — DNS history (https://securitytrails.com/corp/api)
securitytrails=""

# Censys — SSL certificate search (requires a PAID license)
censys_token=""
censys_org_id=""

# AlienVault OTX — passive DNS (optional, raises rate limits)
otx_api_key=""

# Shodan — host search by SSL cert, hostname, favicon hash
shodan_api_key=""

# DNSDB/Farsight — historical DNS records (Community Edition: 500 queries/month free)
dnsdb_api_key=""

Автор

Martín Martín

• Website
• LinkedIn
• GitHub

Лицензия

Распространяется под лицензией GPL v3.