تکنیک جدید، دیوارهای آتش وب (WAF) را دور زده و وب‌سایت‌ها را آسیب‌پذیر می‌کند

تکنیک جدید، دیوارهای آتش وب (WAF) را دور زده و وب‌سایت‌ها را آسیب‌پذیر می‌کند

 

محققان امنیت سایبری از کشف یک تکنیک جدید و نگران‌کننده برای دور زدن فایروال‌های برنامه وب (WAF) پرده‌برداری کرده‌اند که بسیاری از محصولات برتر بازار را تحت تأثیر قرار می‌دهد. این روش به مهاجمان اجازه می‌دهد تا با ارسال درخواست‌های دستکاری‌شده، لایه امنیتی WAF را خنثی کرده و حملات کلاسیک مانند تزریق SQL (SQLi) و اسکریپت بین سایتی (XSS) را بر روی وب‌سایت‌هایی که ظاهراً محافظت‌شده هستند، اجرا کنند. این یافته بار دیگر تأکید می‌کند که اتکای صرف به WAF برای امنیت وب‌سایت کافی نیست.

جزئیات تکنیک چیست؟

• نام تکنیک: این روش که به طور کلی به عنوان “ابهام‌سازی با استفاده از کامنت” (Comment-based Obfuscation) توصیف شده، از نحوه تفسیر کامنت‌ها در زبان SQL بهره می‌برد.
• نوع تهدید: دور زدن فایروال برنامه وب (WAF Bypass)
• تأثیر: بی‌اثر کردن قوانین فیلترینگ WAF و باز کردن راه برای اجرای حملات تزریق SQL بر روی پایگاه داده وب‌سایت.
• سیستم‌های تحت تأثیر: گزارش‌ها نشان می‌دهد این تکنیک بر روی WAFهای معروفی مانند Cloudflare, Akamai, AWS WAF, Imperva و دیگران مؤثر بوده است.
• روش نفوذ: ارسال پی‌لود (Payload) مخرب SQL که با استفاده از سینتکس کامنت‌های تو در تو، از دید WAF پنهان می‌ماند.

تکنیک چگونه عمل می‌کند؟

1. ساخت پی‌لود مخرب: مهاجم یک پی‌لود حمله تزریق SQL استاندارد را ایجاد می‌کند.
2. ابهام‌سازی با کامنت: سپس، با استفاده از سینتکس کامنت در SQL (مانند /* و */)، بخش‌هایی از کد مخرب را درون کامنت‌های تو در تو قرار می‌دهد.
3. ارسال درخواست به WAF: درخواست دستکاری‌شده به سرور ارسال می‌شود. بسیاری از موتورهای WAF، به دلیل پیچیدگی در تجزیه (Parsing) کامنت‌های تو در تو، قادر به شناسایی کد مخرب پنهان‌شده در آن نیستند و درخواست را سالم تشخیص داده و به سرور اصلی عبور می‌دهند.
4. اجرا در پایگاه داده: وب سرور و پایگاه داده، این کامنت‌ها را به درستی پردازش کرده و کد SQL مخرب اصلی را استخراج و اجرا می‌کنند که این امر منجر به نشت اطلاعات یا اجرای دستورات غیرمجاز می‌شود.

وضعیت فعلی تهدید

این تکنیک توسط محققان امنیتی به طور عمومی منتشر شده و کدهای اثبات مفهوم (PoC) آن نیز در دسترس قرار گرفته است. این به آن معناست که هر مهاجمی با دانش فنی متوسط می‌تواند از آن برای حمله به وب‌سایت‌های محافظت‌شده توسط WAFهای آسیب‌پذیر استفاده کند. اگرچه هنوز گزارش گسترده‌ای از حملات با این روش منتشر نشده، اما در دسترس بودن PoC زنگ خطر را برای مدیران وب‌سایت‌ها به صدا درآورده است.

چگونه از خود محافظت کنیم؟

• اصلاح کد برنامه (مهم‌ترین اقدام): آسیب‌پذیری اصلی که حمله تزریق SQL را ممکن می‌سازد، باید در کد منبع وب اپلیکیشن برطرف شود. استفاده از Prepared Statements و Parameterized Queries بهترین روش برای جلوگیری از این نوع حملات است.
• به‌روزرسانی قوانین WAF: مدیران باید اطمینان حاصل کنند که آخرین مجموعه قوانین (Rule sets) را از ارائه‌دهنده WAF خود دریافت و فعال کرده‌اند. بسیاری از شرکت‌ها پس از کشف چنین تکنیک‌هایی، قوانین جدیدی برای مقابله با آن منتشر می‌کنند.
• دفاع در عمق (Defense-in-Depth): امنیت نباید تنها به یک لایه (WAF) متکی باشد. استفاده از سیستم‌های تشخیص نفوذ (IDS/IPS) و نظارت دقیق بر لاگ‌های پایگاه داده می‌تواند به شناسایی حملات موفق کمک کند.
• سخت‌گیری در پیکربندی: تنظیمات WAF را در بالاترین سطح امنیتی ممکن قرار دهید، حتی اگر به قیمت افزایش هشدارهای کاذب (False Positives) تمام شود و سپس به تدریج آن را تنظیم کنید.

چرا این تهدید مهم است؟

فایروال‌های برنامه وب (WAF) یکی از اصلی‌ترین و پراستفاده‌ترین ابزارهای دفاعی در برابر حملات وب هستند و بسیاری از سازمان‌ها با اعتماد به آن‌ها، هزینه‌های گزافی را برای تهیه و نگهداری‌شان متقبل می‌شوند. کشف یک تکنیک که می‌تواند به طور همزمان بسیاری از این محصولات برتر را دور بزند، این اعتماد را به شدت زیر سؤال می‌برد. این تهدید نشان می‌دهد که امنیت یک مفهوم مطلق نیست و حتی پیشرفته‌ترین ابزارها نیز می‌توانند نقاط ضعف داشته باشند. مهم‌تر از آن، این موضوع بر یک اصل بنیادین امنیت تأکید می‌کند: هیچ لایه دفاعی نمی‌تواند جایگزین کدنویسی امن و رفع آسیب‌پذیری‌ها از مبدأ شود.

 

در دنیای امروز که برنامه‌های تحت وب به یکی از اصلی‌ترین اجزای کسب‌وکارها تبدیل شده‌اند، محافظت از این برنامه‌ها اهمیت بسیاری دارد. دیوارهای آتش وب‌اپلیکیشن (WAF) به عنوان یک لایه امنیتی قوی طراحی شده‌اند تا حملات سایبری شناخته‌شده مانند SQL Injection، XSS، و حملات DDoS را شناسایی و مسدود کنند. اما همان‌طور که تکنولوژی امنیتی پیشرفت می‌کند، مهاجمان نیز ابزارها و تکنیک‌های پیشرفته‌ای را برای دور زدن این محافظ‌ها (WAF Bypass) توسعه می‌دهند.

در این مقاله، به طور کامل به موضوع WAF Bypass پرداخته و موارد زیر بررسی خواهند شد:

1. مفهوم WAF و وظایف آن.
2. روش‌های رایج برای بایپس WAF.
3. ابزارهای مورد استفاده برای دور زدن WAF.
4. راهکارهای موثر برای جلوگیری از WAF Bypass.
5. نکاتی برای بهبود امنیت WAF.

WAF چیست و چرا مهم است؟

WAF یا Web Application Firewall ابزاری است که بین کاربران و سرور یک وب‌اپلیکیشن قرار می‌گیرد و ترافیک ورودی و خروجی را بررسی می‌کند. وظیفه اصلی WAF محافظت از برنامه در برابر حملات مختلف است، به خصوص حملات مبتنی بر لایه کاربردی (Layer 7).

وظایف اصلی WAF

1. فیلتر کردن ترافیک مخرب:
   شناسایی و جلوگیری از ارسال درخواست‌های مخرب مانند تزریق کد.
2. محافظت از داده‌های حساس:
   جلوگیری از افشای اطلاعات کاربران یا دیتابیس از طریق حملات مانند SQL Injection.
3. جلوگیری از حملات DDoS:
   مسدودسازی درخواست‌های بیش از حد برای کاهش فشار بر سرور.

انواع WAF

• WAF مبتنی بر نرم‌افزار: به صورت یک برنامه نصب می‌شود.
• WAF مبتنی بر سخت‌افزار: به شکل یک دستگاه سخت‌افزاری در شبکه قرار می‌گیرد.
• WAF مبتنی بر ابر: ارائه‌دهنده‌های ابری مانند Cloudflare، AWS WAF یا Azure این خدمات را ارائه می‌دهند.

با این حال، هیچ ابزار امنیتی کاملاً بی‌نقص نیست و WAF‌ها نیز از این قاعده مستثنی نیستند. همین موضوع، بایپس WAF را به یک چالش جدی در امنیت سایبری تبدیل کرده است.

WAF Bypass چیست؟

WAF Bypass به مجموعه‌ای از تکنیک‌ها و روش‌ها اشاره دارد که توسط مهاجمان سایبری برای دور زدن مکانیزم‌های امنیتی دیوار آتش وب‌اپلیکیشن (Web Application Firewall یا WAF) استفاده می‌شود. هدف از این فرآیند، عبور از لایه امنیتی WAF و ارسال درخواست‌های مخرب به سرور برنامه وب است، به طوری که این درخواست‌ها توسط WAF شناسایی و مسدود نشوند.

چرا WAF Bypass امکان‌پذیر است؟

• پیکربندی نادرست WAF: قوانین پیش‌فرض به تنهایی کافی نیستند.
• ضعف در شناسایی الگوها: برخی WAF‌ها در شناسایی الگوهای حملات پیشرفته ضعف دارند.
• استفاده از تکنیک‌های مبهم‌سازی: تغییر ساختار حملات به گونه‌ای که WAF قادر به تشخیص آنها نباشد.

تکنیک‌های رایج برای WAF Bypass

مهاجمان از روش‌های متعددی برای دور زدن مکانیزم‌های امنیتی دیوار آتش وب‌اپلیکیشن (WAF) استفاده می‌کنند. در اینجا برخی از تکنیک‌های رایج WAF Bypass معرفی شده است:

1. Obfuscation (مبهم‌سازی)

در این روش، مهاجم ساختار حمله را تغییر می‌دهد تا توسط WAF شناسایی نشود. مبهم‌سازی معمولاً با افزودن کاراکترهای غیرمعمول، فاصله‌ها، یا کامنت‌های بلاکی انجام می‌شود.

مثال:

2. Encoding (رمزگذاری)

رمزگذاری درخواست‌ها، محتوای مخرب را از دید WAF پنهان می‌کند. انواع رمزگذاری شامل URL Encoding، Base64، یا Unicode است.

مثال:

• متن اصلی: ../etc/passwd
• رمزگذاری‌شده: ..%2Fetc%2Fpasswd

3. HTTP Parameter Pollution (آلودگی پارامترهای HTTP)

در این تکنیک، مهاجم با افزودن پارامترهای اضافی یا تغییر ساختار پارامترها، مکانیزم تحلیل WAF را گمراه می‌کند.

مثال:

Original: id=1
Polluted: id=1&id=2

 

4. Case Manipulation (دستکاری حروف بزرگ و کوچک)

برخی WAF‌ها نسبت به تفاوت حروف بزرگ و کوچک حساس نیستند. مهاجم می‌تواند با تغییر ساختار حروف از شناسایی جلوگیری کند.

مثال:

5. Chunked Encoding (رمزگذاری تکه‌ای)

ارسال درخواست‌ها در قالب تکه‌های جداگانه (chunked) که ممکن است WAF قادر به تحلیل کامل آنها نباشد.

6. Injecting Null Bytes (تزریق بایت‌های Null)

با استفاده از کاراکترهای بایت صفر (\x00)، مهاجم می‌تواند پردازش پارامترها توسط WAF را مختل کند.

مثال:

7. Bypassing Through Whitelists (دور زدن از طریق لیست‌های سفید)

اگر WAF به جای قوانین جامع، تنها به لیست سفید اکتفا کند، مهاجم می‌تواند اطلاعاتی مانند IP Address یا User-Agent را جعل کند.

8. Polymorphic Payloads (بارهای چندشکلی)

ایجاد بارهای مخرب (Payloads) که در هر درخواست تغییر می‌کنند و تشخیص آنها را برای WAF دشوار می‌سازد.

9. Second-Order Attacks (حملات دومرحله‌ای)

در این روش، مهاجم اطلاعات مخرب را به گونه‌ای وارد می‌کند که در مرحله اول توسط WAF قابل شناسایی نیست، اما در مرحله بعدی (مانند ذخیره در پایگاه داده) فعال می‌شود.

10. Manipulating HTTP Headers (دستکاری هدرهای HTTP)

تغییر یا اضافه کردن هدرهای خاص مانند User-Agent، Referer یا Content-Type برای گمراه کردن WAF.

مثال:

11. SQL Injection in JSON or XML

ارسال درخواست‌های مخرب در قالب داده‌های JSON یا XML که برخی WAF‌ها به درستی تحلیل نمی‌کنند.

مثال:

{
“username”: “admin’ OR 1=1–”
}

12. Overloading Requests (بارگذاری بیش از حد درخواست‌ها)

ارسال تعداد زیادی درخواست با الگوهای مختلف برای دور زدن الگوریتم‌های تحلیل WAF.

13. DNS Rebinding (بازبایند کردن DNS)

تغییر IP مقصد با استفاده از DNS Rebinding برای عبور از محدودیت‌های مبتنی بر آدرس IP.

14. Tunneling Through HTTPS

استفاده از رمزگذاری HTTPS برای مخفی کردن محتوای درخواست از WAF. اگر WAF رمزگشایی HTTPS را انجام ندهد، این روش موثر خواهد بود.

15. HTTP Method Override (دور زدن با تغییر متد HTTP)

تغییر متد HTTP (مانند GET به POST) یا استفاده از هدرهایی مانند X-HTTP-Method-Override می‌تواند مکانیزم WAF را دور بزند.

این تکنیک‌ها نشان می‌دهند که مهاجمان می‌توانند از خلاقیت و دانش فنی خود برای مقابله با سیستم‌های امنیتی استفاده کنند. برای جلوگیری از این حملات، باید از استراتژی‌های جامع و ترکیبی استفاده کرد.

ابزارهای مورد استفاده در WAF Bypass

1. SQLMap:
   ابزار خودکار برای انجام حملات SQL Injection و شناسایی روش‌های بایپس.
2. Burp Suite:
   یکی از ابزارهای قدرتمند برای تست نفوذ وب که امکانات متعددی برای بایپس WAF دارد.
3. Nmap:
   برای کشف تنظیمات و مکانیزم‌های فایروال استفاده می‌شود.
4. WAFW00F:
   ابزاری برای شناسایی نوع WAF مورد استفاده در وب‌سایت.
5. Metasploit Framework:
   مجموعه‌ای جامع از ابزارها برای انجام حملات پیشرفته و بایپس.

روش‌های جلوگیری از WAF Bypass

1. به‌روزرسانی مداوم WAF:
   نرم‌افزار WAF باید به طور منظم به‌روزرسانی شود تا با تهدیدات جدید مقابله کند.
2. پیاده‌سازی قوانین سفارشی (Custom Rules):
   ایجاد قوانین خاص بر اساس نیازهای سازمان برای بهبود امنیت.
3. ترکیب ابزارهای امنیتی:
   استفاده از ابزارهای مکمل مانند IPS (سیستم پیشگیری از نفوذ) و DLP (جلوگیری از نشت اطلاعات).
4. بررسی دقیق لاگ‌ها:
   لاگ‌های WAF باید به طور مداوم بررسی شوند تا هرگونه فعالیت مشکوک شناسایی شود.
5. آموزش تیم امنیتی:
   تیم امنیتی باید با جدیدترین تکنیک‌های بایپس آشنا باشند.
6. تست نفوذ منظم:
   با انجام تست‌های نفوذ، نقاط ضعف سیستم شناسایی و رفع می‌شوند.

نتیجه‌گیری

WAF یک ابزار ضروری برای محافظت از برنامه‌های تحت وب است، اما همان‌طور که تکنولوژی امنیتی پیشرفت می‌کند، تکنیک‌های مهاجمان نیز بهبود می‌یابد. WAF Bypass نشان می‌دهد که امنیت یک فرآیند پویا و مداوم است. با شناخت تکنیک‌های بایپس و استفاده از راهکارهای موثر، می‌توان امنیت برنامه‌های وب را بهبود بخشید و احتمال نفوذ مهاجمان را کاهش داد.