EvilWAF – Web应用防火墙绕过工具包

EvilWAF是由matrixleons开发的先进防火墙绕过和指纹识别工具，旨在检测和绕过Web应用防火墙（WAF）。它支持多种规避技术，用于全面的安全评估。

主要特性

WAF指纹识别：识别和检测特定的WAF解决方案
多种绕过技术：
- 头部操作
- DNS历史分析
- 子域名枚举
防火墙规避：绕过安全控制的高级方法
全面扫描：多技术方法以实现最大效果

支持的WAF检测和绕过

Cloudflare、Akamai、Imperva、ModSecurity等

WAF绕过技术

1. 头部操作

通过高级HTTP头部操作规避WAF检测：

User-Agent轮换：循环使用不同的浏览器签名
X-Forwarded-For欺骗：伪造源IP地址
Accept-Encoding操作：更改压缩头部
Cookie参数污染：过载Cookie参数

2. DNS历史分析

利用DNS记录发现隐藏入口点：

历史DNS查询：查找旧IP地址和子域名
CNAME链分析：跟踪域名别名和重定向
被动DNS复制：从DNS数据库收集情报
过期域名检测：识别被遗忘的子域名
IP历史重建：映射历史服务器位置

3. 子域名枚举

全面的子域名发现以获取替代访问：

暴力发现：对子域名字典攻击
证书透明度日志：从SSL证书提取域名
搜索引擎抓取：从公共索引收集子域名
DNS区域传输尝试：利用配置错误的DNS服务器
反向IP查找：查找共享托管上的所有域名

4. HTTP请求走私

通过高级协议级攻击绕过WAF检查：

CL.TE攻击：Content-Length与Transfer-Encoding冲突
TE.CL攻击：Transfer-Encoding与Content-Length混淆
头部混淆：头部中的空格和制表符变化
块大小操作：大型和畸形块大小
方法覆盖：走私GET、POST、PUT、DELETE请求
端点多样化：目标管理面板、API和内部端点

5. JWT算法混淆

通过令牌操作绕过身份验证：

算法"none"攻击：移除签名验证
弱密钥测试：常见和默认JWT密钥
密钥混淆：使用公钥作为HMAC密钥
头部注入：KID、JKU和X5U头部攻击
时间戳操作：未来过期和固定时间戳
角色提升：管理员和超级用户声明注入

6. GraphQL查询批处理

利用GraphQL特性规避检测：

查询批处理：在单个请求中多个查询
数组批处理：带有注入负载的ID数组
突变批处理：组合登录和权限提升
内省滥用：带有注入的模式发现
别名攻击：具有不同参数的多个查询别名
变量操作：通过GraphQL变量进行SQL注入

7. gRPC/Protobuf绕过

通过二进制协议攻击规避内容检查：

协议混淆：混合gRPC、Protobuf和REST内容类型
二进制编码：二进制负载中的SQL注入
Content-Type操作：各种gRPC内容类型头部
云提供商模拟：AWS、Google和Azure gRPC头部
WebSocket协议：gRPC-Web和WebSocket协议攻击
代理头部注入：结合gRPC与代理头部

安装

方法1：从GitHub克隆（推荐）

1
2
3
4


git clone https://github.com/matrixleons/evilwaf.git
cd evilwaf
pip3 install -r requirements.txt
python3 evilwaf.py -d https://site.com -o results.json

（推荐）

1
2


python3 evilwaf.py -d site.com -o results.json
python3 evilwaf.py -d site.com / https://site.com

工具输出示例

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


[+] PHASE 2: DNS History Bypass
[*] Testing 14 IP variants
[-] 35.187.93.140 Bypass Success
[-] 35.187.93.1 Bypass Failed
[-] 35.187.93.2 Bypass Failed
[-] 35.187.93.10 Bypass Failed
[-] 35.187.93.50 Bypass Failed
[-] 35.187.93.100 Bypass Failed
[-] 35.187.93.200 Bypass Failed
[-] 35.187.93.254 Bypass Failed
[-] 35.187.93.255 Bypass Failed
[-] 35.187.93.101 Bypass Failed
[-] 35.187.93.102 Bypass Failed
[-] 35.187.93.103 Bypass Failed
[-] 35.187.93.253 Bypass Failed
[-] 35.187.93.252 Bypass Failed

Docker安装

1
2


docker build -t evilwaf .
docker run -it evilwaf -d example.com

完成

免责声明

重要：使用EvilWAF前请阅读

此工具仅设计用于授权安全测试
您必须拥有测试目标系统的明确权限
适用于教育目的、安全研究和授权渗透测试
不适用于恶意或非法活动

法律合规：

用户对其使用此工具的方式全权负责
开发人员不对任何误用或造成的损害负责
确保遵守地方、州和联邦法律

EvilWAF：高级Web应用防火墙绕过与指纹识别工具包

EvilWAF是由matrixleons开发的先进防火墙绕过和指纹识别工具，专为检测和绕过Web应用防火墙设计。它支持多种规避技术，包括头部操作、DNS历史分析和子域名枚举等，适用于授权安全测试和教育研究。