web-threat-mitigation

使用OWASP ZAP、Burp Suite和ModSecurity WAF（搭配OWASP CRS）进行Web应用威胁检测与缓解的实战实验室。案例分析：Spring4Shell (CVE-2022-22965)。基于Docker的本地环境设置。

2. 初始扫描 从 Kali Linux 使用 OWASP ZAP：
   • 高风险警报：SQL 注入、Spring4Shell
   • 中等风险：缺少 CSP、CSRF 令牌、参数篡改
   • 信息性：版本泄露、潜在的 XSS、会话问题

3. 反向代理部署 在 Debian 12 上使用 nginx。

4. WAF 设置 使用 OWASP CRS 并加载规则：
   root@kitploit:~

   /etc/nginx/coreruleset-4.9.0/crs-setup.conf
   /etc/nginx/coreruleset-4.9.0/rules/*.conf
   

   通过检查 ModSecurity 日志来测试和启用规则。

5. WAF 后扫描 使用 OWASP ZAP 显示：
   • 警报减少（阻止或掩盖的响应）
   • 确认 WAF 保护已生效

6. 利用测试 使用 Metasploit 针对 Spring4Shell：
   • 无 WAF：RCE 成功（反向 shell 载荷）
   • 有 WAF：因 CRS 检测而阻止利用

结论

该实验展示了分层安全的重要性：

• 易受攻击的应用程序在没有保护的情况下很容易暴露
• ZAP/Burp 有助于识别和分类漏洞
• ModSecurity 和 OWASP CRS 有效减少攻击面
• WAF 可以通过适当的调整来阻止实际的 CVE，如 Spring4Shell

作者

Bruno Paolo Huamán Vela (利马，秘鲁) 网络安全学生 – 乌拉尔联邦大学 (UrFU)