Тестирование на проникновение — это не только обход защиты, но и правильное взаимодействие с ней. Подписчик, работающий с WAF, столкнулся с трудностями обхода:
«Я часто сталкиваюсь с трудностями при обходе WAF во время тестов на проникновение. Какие стратегии и инструменты помогут мне эффективно анализировать защиту и минимизировать вероятность её блокировки?»
Вот что рекомендует сообщество:
➡️ Изучите настройки WAF, некоторые позволяют обходы через манипуляции с заголовками HTTP или форматированием запросов
➡️ Инструменты, такие как Burp Suite, Wfuzz или SQLmap, помогут манипулировать запросами и находить уязвимости
➡️ Используйте double URL encoding, обфускацию JavaScript и шумовые данные для скрытия атакующего кода
➡️ Иногда изменение порядка параметров помогает обойти фильтрацию
➡️ Используйте нестандартные методы взаимодействия (например, через XML или JSON, если это поддерживается)
❓ Сталкивались ли вы с WAF, который сложно обойти? Что вам помогло в тестах на проникновение? Поделитесь опытом!
P.S. Если хотите задать вопрос, заполните нашу гугл-форму. Это займет 5 минут.
🐸 Библиотека хакера
#междусобойчик