执行示例：

重要提示： 基于时间的检测和 PoC 模式仅可用于已获得明确测试授权的系统。常规清单模式仅使用标准的 WFS 操作。

前提条件

• Python 3.10 或更高版本
• 无需额外的 Python 包；两个脚本仅使用标准库
• 可访问 WFS 端点的网络连接

可选地使其可执行：

快速开始

通过常规 WFS 查询查找候选对象

默认路径 /geoserver/wfs 会自动补充。因此以下地址是等效的：

如果安装路径不同，则必须指定完整的 WFS 路径。

使用基于时间的检测验证候选对象

仅适用于明确授权的系统：

在检测期间，每个候选对象都会在 stderr 上显示一次测量结果：

通过初步筛选并不代表确认存在漏洞。只有当第二次更长时间的测量也通过时，才会输出参数块。

将诊断信息写入文件

--valid-diagnose FILE 会自动启用详细诊断并将其写入指定文件。

自动模式流程

默认模式 auto 按以下顺序处理 WFS 信息：

1. GetCapabilities 被打开一次：

   root@kitploit:~

   /geoserver/wfs?service=WFS&acceptVersions=2.0.0&request=GetCapabilities
   

2. XML 响应被流式读取。一旦找到 FeatureType/Name，下一个 typeName 即确定。

3. 立即对该图层执行 DescribeFeatureType，使用 version=2.0.0。

4. 脚本提取 XSD 元素，并选择名称类似 ID 或数字的字符串/JSON 字段。

5. 根据调用方式检查候选对象：

   • 无 --sleep：样本值必须是语法有效的 JSON。
   • 使用 --sleep N：测量一个控制请求和一个基于时间的检测请求。此时跳过 JSON 值检查。

6. 结果立即输出并刷新。

7. 之后才从正在进行的 GetCapabilities 响应中读取下一个 typeName。

这样，无需在处理完整个大型 GetCapabilities 响应之前就能显示第一个结果。

字段候选标准

无 --sleep 时，自动模式默认考虑名称类似 ID 或数字的字符串/JSON 字段。

使用 --sleep 时，--candidate-scope auto 则使用所有简单的非几何字段。XSD 类型和 ID 名称模式不再阻止时间检测。这可以防止数值型、日期/布尔型或厂商特定 XSD 类型出现漏报。

识别的名称模式包括：

在基于时间的检测中，字段名还必须是一个简单的标识符，格式为 [A-Za-z_][A-Za-z0-9_]*。

JSON 检测与 Sleep 检测的区别

无 --sleep 时，检查观察到的值是否可以在语法上解释为 JSON。因此，例如字符串 "383205" 也被视为候选对象，因为其内容是一个有效的 JSON 数字。此检查是一种启发式方法，并非漏洞证明。

使用 --sleep 1 时，仅由时间测量决定。默认情况下，如果检测请求相对于控制请求额外消耗至少 70% 的请求 Sleep 时间，则候选对象被视为阳性。--timing-result-type auto 首先检查 resultType=hits，如果结果为阴性，则随后检查 resultType=results。

初步阳性的测量结果必须使用更长的 Sleep 时间进行确认。如果没有显式的 --confirm-sleep，脚本使用 max(3, --sleep * 3)，上限为 10 秒。这样，在 --sleep 1 时，单次延迟峰值不会导致 vulnerable=true。

紧凑输出

标准输出为每个有效图层包含一个块：

parameter_stringN 包含规范化的 WFS 端点以及 --typename 和 --field_name 的相应值。

--valid-fields N 统计图层块，而非单个字段。如果有效图层少于 N 个，则继续检查剩余的目录。使用 --max-layers 可以限制最大运行时间。

详细诊断

选项 --diagnose 或 --valid-diagnose FILE 额外提供：

• 规范化的 WFS 端点，
• 使用的 GetCapabilities URL，
• DescribeFeatureType URL，
• XSD 字段类型，
• ID 和可用性标记，
• 检查的样本数量，
• JSON 兼容性或时间测量值，
• 生成的 GetFeature URL 以及
• 可复制的参数字符串。

示例：

其他清单模式

列出所有图层

限制到某个命名空间：

显示图层的 XSD 字段

每个字段以 JSON 对象形式输出，包含名称、XSD 类型、nillable、id_candidate 和 usable_property。

导出所选字段的值

导出所有属性：

使用 --unique 时，所选字段值的相同组合仅输出一次。

wfs_inventory.py 的参数

组合入口点

geoserver_sqli_working.py 可以直接调用清单功能。一旦指定了 --valid-fields，则仅执行清单并在之后退出程序。

通过组合脚本进行清单

内部会将以下参数传递给 wfs_inventory.py：

如果没有显式的 --sleep，清单模式下的基于时间检测保持禁用。

独立 PoC 模式

仅适用于明确授权的测试系统：

在 PoC 模式下，目标路径不会自动规范化。此处应指定完整的 WFS 端点。

该模式首先执行基线/Sleep 测试，然后测试现有的基于时间的 Oracle 变体，并在成功确认后默认读取服务器/数据库元数据。使用 --query 可以改为指定自定义标量查询。

PoC 模式当前在内部禁用 TLS 证书验证。对于纯清单，应优先使用 wfs_inventory.py，因为那里默认启用 TLS 验证。

geoserver_sqli_working.py 的参数

JSONL 报告

自动模式可以生成 JSON Lines 而非文本块：

使用 --diagnose 时，每条记录还包含 URL、候选元数据、检测值和字段特定的 GetFeature URL。

代理与 TLS

使用代理：

信任自定义代理 CA：

为授权的测试系统禁用 TLS 验证：

--proxy-ca 和 --insecure 不能同时使用。

大型 WFS 目录与性能

对于大型 GetCapabilities 响应，以下选项有帮助：

说明：

• GetCapabilities 仅请求一次，然后进行流式读取。
• --valid-fields 4 仅在四个有效图层后结束扫描。如果命中数较少，搜索将持续到结束或直到 --max-layers。
• --sample-size 1 减少了 JSON 启发式的工作量。
• 在 Sleep 模式下，跳过 JSON 样本。每个查询路径执行一个控制请求和一个检测请求。使用 --timing-result-type auto 时，在 hits 结果为阴性后，还会额外执行两个 results 请求。
• 初步阳性的候选对象会触发两个额外请求用于缩放确认。之后才被视为易受攻击。
• --candidate-scope id 减少了时间请求的数量，但可能会遗漏具有其他名称的易受攻击字段。
• --namespace 和 --start-layer-index 可以进一步限制搜索空间。

故障排除

The read operation timed out

• 如果服务器响应缓慢，请增加 --timeout。
• 设置 --retries 0 以避免长时间重试。
• 使用 --max-layers 和 --namespace。
• 对于 JSON 启发式，使用 --sample-size 1。

无输出

• 无 --sleep 时，候选对象必须根据 --candidate-scope 通过 XSD/名称检查和 JSON 语法检查。
• 使用 --sleep 时，仅输出时间上确认的候选对象作为参数块；阴性测量结果显示为 stderr 上的 [sleep-check]。
• 如果命中数少于所需数量，扫描可能会持续很长时间。在这种情况下，设置 --max-layers。

Cannot do natural order without a primary key

对于第一个 GetFeature 页面，脚本不发送 startIndex=0，因为某些没有主键的 GeoServer/JDBC 图层会因此强制自然排序。在导出更多页面时，此类图层可能仍需要主键或服务器端支持的排序。

schema does not define ...Type

脚本同时考虑常见的 <LayerName>Type 以及全局 XSD 图层元素中引用的不同或匿名的 complexType。如果错误仍然存在，应使用 --diagnose 检查相关的 DescribeFeatureType 响应。

样本检查时出现 HTTP 400

完整的 OWS 错误消息会输出到 stderr。常见原因包括不支持的属性、服务器端分页设置或特定于图层的数据源配置。

终端中的直接帮助