web漏洞扫描器原理_黑客秘籍：基于WAF日志的扫描器检测实践

Web扫描器通过构造特殊请求的方式，对Web系统可能存在的安全漏洞进行扫描，是渗透工作的必备工具。本文尝试从扫描器检测方向出发，根据扫描器的功能和所产生的请求内容对其进行分类，结合苏宁Web应用防火墙(WAF)日志数据，分别展示了规则模型、统计特征模型和基于n-gram的的MLP模型在Web扫描器识别上的简单实践效果，供大家参考。

一. 扫描器概览

图1 - 扫描器分类

1 敏感内容扫描

俗话说知己知彼方能百战不殆，当黑客或渗透测试人员面对一个未知站点时，这个站点对他们来说就是一个黑盒。这时候不妨拿敏感内容扫描器先给它来个一把嗦摸摸底，指不定就能扫到有价值信息，找到撬动安全防护缺口的第一把钥匙。

敏感内容扫描器通常具备一系列敏感路径及敏感文件的字典，扫描器利用这些敏感内容字典对站点进行盲扫来判断是否存在这些敏感内容；进一步地，通过响应数据包对站点目录结构及其他信息进行判断，为下一步针对性单点突破作准备。

这里提到了一个字典的概念，字典这玩意很重要，可以说字典的质量、广度和深度决定了这个扫描器的上限。相对于IP代理、UA伪造、随机化访问时间间隔这些伪装手段来说，敏感内容是固定的，翻来覆去就这么多东西，同时因为请求资源不存在大多数会返回404状态码(有些会触发WAF拦截策略返回403，还有些因为服务器设置了默认跳转状态码为301或302)。攻方选手通常不会构造毫无意义的字典内容来浪费有限的资源和精力，这些字典通常包含如下内容信息(忽略大小写)：

• 敏感目录信息：如/admin/, /phpadmin/, /mysqladmin/, /usr/local/, /etc/passwd/, ...

• 敏感配置文件：如.bashrc, .bash_history, conf.icn, config.inc, ...

• 版本文件信息：如/.git/config, /.svn/entries, /.bzr/xxx, ...

• 备份文件信息：如bak, index.php.bak, database.wsp, backup.zip, ...

• 密钥文件信息：如/.ssh/idrsa, /.ssh/knownhosts, idrsa.pub, authorizedkeys, ...

• 日志文件信息：如/logs/error.log, /logs/auth.log, /var/log/mysql/mysql.log, ...

• 其他敏感文件：如php, system.inc, mysql.inc, shell.php, ...

2 Web漏洞扫描

漏洞扫描器通常会与爬虫相结合。首先利用爬虫获取到页面可能存在注入点的接口，然后针对该接口来一个SQl注入、XSS注入、命令注入一把嗦，对于一些安全防护意识低的站点往往能取到最直接的效果。针对这类扫描请求，WAF都能够做到单点正则过滤，理论上会拦截返回大量403状态码，但是扫描器常针对一些新域名或偏僻的域名进行扫描，这些域名往往没有启用WAF攻击防护，因此实际上是有很多是未被拦截的非403状态码。同上述敏感内容扫描，这类请求往往也具备明显的文本特征&