WAF-A-MoLE：針對Web應用防火墻的基于變異的模糊測

WAF-A-MoLE是一款功能強大的基于變異的模糊測試工具，該工具可以幫助廣大研究人員對基于ML的Web應用防火墻進(jìn)行模糊測試。

關(guān)于WAF-A-MoLE

WAF-A-MoLE是一款功能強大的基于變異的模糊測試工具，該工具可以幫助廣大研究人員對基于ML的Web應用進(jìn)行模糊測試。

只需提供一條SQL注入查詢(xún)語(yǔ)句，該工具便能夠嘗試生成一個(gè)可繞過(guò)目標WAF的語(yǔ)義不變的變種查詢(xún)。我們可以使用WAF-A-MoLE來(lái)探索解決方案空間，找到目標分類(lèi)器未發(fā)現的危險“盲點(diǎn)”，并且可以使用此工具評估產(chǎn)品的穩健性。

工具體系架構

WAF-A-MoLE可以獲取初始Payload并將其插入Payload池中，Payload池將負責管理一個(gè)Payload優(yōu)先級隊列。

在每次迭代過(guò)程中，Payload池的頭部會(huì )被傳遞給模糊。在模糊器中，通過(guò)應用一個(gè)可用的變異操作符，對Payload池進(jìn)行隨機變異。

變異操作

變異操作都是語(yǔ)義保留的，它們利用了SQL語(yǔ)言(在這個(gè)版本中是MySQL)的高表達能力。

以下是當前版本W(wǎng)AF-A-MoLE中可用的變異操作：

工具要求

• numpy
• keras
• scikit-learn
• joblib?
• sqlparse
• networkx
• Click?

工具下載&安裝

廣大研究人員可以使用下列命令將該項目源碼克隆至本地：

1. git clone https://github.com/AvalZ/WAF-A-MoLE.git 

然后運行下列命令完成依賴(lài)組件的安裝：

1. pip install -r requirements.txt 

工具使用

(1) wafamole --help

1. Usage: wafamole [OPTIONS] COMMAND [ARGS]... 
2.  
3.   
4.  
5. Options: 
6.  
7.   --help  Show this message and exit. 
8.  
9.   
10.  
11. Commands: 
12.  
13.   evade  Launch WAF-A-MoLE against a target classifier. 

(2) wafamole evade --help

1. Usage: wafamole evade [OPTIONS] MODEL_PATH PAYLOAD 
2.  
3.   
4.  
5.   Launch WAF-A-MoLE against a target classifier. 
6.  
7.   
8.  
9. Options: 
10.  
11.   -T, --model-type TEXT     Type of classifier to load 
12.  
13.   -t, --timeout INTEGER     Timeout when evading the model 
14.  
15.   -r, --max-rounds INTEGER  Maximum number of fuzzing rounds 
16.  
17.   -s, --round-size INTEGER  Fuzzing step size for each round (parallel fuzzing 
18.  
19.                             steps) 
20.  
21.   --threshold FLOAT         Classification threshold of the target WAF [0.5] 
22.  
23.   --random-engine TEXT      Use random transformations instead of evolution 
24.  
25.                             engine. Set the number of trials 
26.  
27.   --output-path TEXT        Location were to save the results of the random 
28.  
29.                             engine. NOT USED WITH REGULAR EVOLUTION ENGINE 
30.  
31.   --help                    Show this message and exit. 

性能評估

項目地址

WAF-A-MoLE：【】

原文地址：https://www.freebuf.com/articles/web/285672.html