介紹

Web 應(yīng)用程式防火牆 (WAF) 長(zhǎng)期以來一直是保護(hù) Web 應(yīng)用程式的標(biāo)準(zhǔn)安全解決方案。 AWS WAF 和 Cloudflare WAF 等基於雲(yún)端的 WAF 由於易於實(shí)施而特別受歡迎。然而，它們也面臨一些挑戰(zhàn)：

• 對(duì)應(yīng)用程式上下文的了解有限
• 誤報(bào)率高
• 受限的自訂邏輯實(shí)作

為了應(yīng)對(duì)這些挑戰(zhàn)，一種稱為應(yīng)用內(nèi) WAF 或 RASP（運(yùn)行時(shí)應(yīng)用程式自我保護(hù)）的新方法正在引起人們的注意。

在這篇文章中，我將介紹 Waffle，一個(gè)用於將應(yīng)用程式內(nèi) WAF 功能整合到 Go Web 應(yīng)用程式中的程式庫。

• https://sitebatch.github.io/waffle-website
• https://github.com/sitebatch/waffle-go

什麼是應(yīng)用內(nèi) WAF/RASP？

應(yīng)用程式內(nèi) WAF/RASP 並不是要取代現(xiàn)有的雲(yún)端 WAF，而是透過將 WAF 功能直接嵌入到您的應(yīng)用程式中來補(bǔ)充它們，以增強(qiáng)保護(hù)。
它可以處理常見的 Web 應(yīng)用程式攻擊，例如 SQL 注入和 XSS，以及應(yīng)用程式業(yè)務(wù)邏輯攻擊，例如撞庫和暴力嘗試。

主要優(yōu)勢(shì)是透過完整的請(qǐng)求上下文感知來準(zhǔn)確檢測(cè)和預(yù)防。

考慮這個(gè)用於建立部落格文章的 HTTP 請(qǐng)求：

POST /blog/post HTTP/1.1
...

{
  "title": "What is SQL ?"
  "body": "SQL example code: `SELECT * FROM users` ..."
}

如果您的應(yīng)用程式使用佔(zhàn)位符來安全地建構(gòu) SQL 語句，則 SQL 注入是不可能的。但是，依賴模式匹配的基於雲(yún)端的 WAF 會(huì)阻止此請(qǐng)求，因?yàn)樗梢傻念愃?SQL 的模式（字串 SELECT * FROM 會(huì)引發(fā) SQL 注入問題）。

開發(fā)人員經(jīng)常發(fā)現(xiàn)自己需要繁瑣地調(diào)整參數(shù)、端點(diǎn)或 WAF 規(guī)則來減少這些誤報(bào)。好麻煩的任務(wù)?。?

相較之下，應(yīng)用內(nèi) WAF / RASP 可以理解請(qǐng)求上下文。它可以識(shí)別何時(shí)未使用佔(zhàn)位符，並且僅在「實(shí)際上可能發(fā)生 SQL 注入」時(shí)阻止攻擊。這種情境感知方法可以減少誤報(bào)，甚至可以幫助緩解零日漏洞。

在 Go 應(yīng)用程式中使用 Waffle 實(shí)作應(yīng)用程式內(nèi) WAF/RASP

Waffle 是一個(gè)在 Go Web 應(yīng)用程式中啟用應(yīng)用程式內(nèi) WAF / RASP 功能的函式庫。

讓我們看看如何將 Waffle 整合到您的應(yīng)用程式中以及它如何防止攻擊。

應(yīng)用範(fàn)例

雖然此範(fàn)例使用標(biāo)準(zhǔn)函式庫的 net/http，但 Waffle 也支援其他函式庫，例如 Gin 和 GORM。
有關(guān)更多詳細(xì)信息，請(qǐng)查看支援的庫文檔。

以下應(yīng)用程式在 /login 端點(diǎn)中存在 SQL 注入漏洞：

POST /blog/post HTTP/1.1
...

{
  "title": "What is SQL ?"
  "body": "SQL example code: `SELECT * FROM users` ..."
}

package main

import (
    "context"
    "database/sql"
    "fmt"
    "net/http"

    _ "github.com/mattn/go-sqlite3"
)

var database *sql.DB

func init() {
    setupDB()
}

func newHTTPHandler() http.Handler {
    mux := http.NewServeMux()
    mux.Handle("/login", http.HandlerFunc(loginController))

    return mux
}

func main() {
    srv := &http.Server{
        Addr:    ":8000",
        Handler: newHTTPHandler(),
    }

    srv.ListenAndServe()
}

func loginController(w http.ResponseWriter, r *http.Request) {
    email := r.FormValue("email")
    password := r.FormValue("password")

    if err := login(r.Context(), email, password); err != nil {
        http.Error(w, err.Error(), http.StatusInternalServerError)
        return
    }

    w.Write([]byte("Login success"))
}

func login(ctx context.Context, email, password string) error {
    // ?? SQL INJECTION VULNERABILITY
    rows, err := database.QueryContext(ctx, fmt.Sprintf("SELECT * FROM users WHERE email = '%s' AND password = '%s'", email, password))
    if err != nil {
        return err
    }
    defer rows.Close()

    if !rows.Next() {
        return fmt.Errorf("invalid email or password")
    }

    // do something

    return nil
}

func setupDB() {
    db, err := sql.Open("sqlite3", "file::memory:?cache=shared")
    if err != nil {
        panic(err)
    }

    if _, err := db.Exec("CREATE TABLE users(id int, email text, password text);"); err != nil {
        panic(err)
    }

    if _, err := db.Exec("INSERT INTO users(id, email, password) VALUES(1, 'user@example.com', 'password');"); err != nil {
        panic(err)
    }

    database = db
}

整合Waffle防止SQL注入

讓我們整合Waffle來防止SQL注入：

$ go run .

# SQL injection attack
$ curl -i -X POST 'http://localhost:8000/login' \
    --data "email=user@example.com' OR 1=1--&password="
HTTP/1.1 200 OK
Date: Sun, 05 Jan 2025 10:32:50 GMT
Content-Length: 13
Content-Type: text/plain; charset=utf-8

Login success

修改main.go如下：

$ go get github.com/sitebatch/waffle-go

變化很?。?br>

package main

import (
    "context"
    "database/sql"
    "errors"
    "fmt"
    "net/http"

    "github.com/sitebatch/waffle-go"
    "github.com/sitebatch/waffle-go/action"
    waffleSQL "github.com/sitebatch/waffle-go/contrib/database/sql"
    waffleHTTP "github.com/sitebatch/waffle-go/contrib/net/http"

    _ "github.com/mattn/go-sqlite3"
)

var database *sql.DB

func init() {
    setupDB()
}

func newHTTPHandler() http.Handler {
    mux := http.NewServeMux()
    mux.Handle("/login", http.HandlerFunc(loginController))

    handler := waffleHTTP.WafMiddleware(mux)

    return handler
}

func main() {
    srv := &http.Server{
        Addr:    ":8000",
        Handler: newHTTPHandler(),
    }

    // Start waffle with debug mode
    waffle.Start(waffle.WithDebug())

    srv.ListenAndServe()
}

func loginController(w http.ResponseWriter, r *http.Request) {
    email := r.FormValue("email")
    password := r.FormValue("password")

    if err := login(r.Context(), email, password); err != nil {
        var actionErr *action.BlockError
        if errors.As(err, &actionErr) {
            return
        }

        http.Error(w, err.Error(), http.StatusInternalServerError)
        return
    }

    w.Write([]byte("Login success"))
}

func login(ctx context.Context, email, password string) error {
    // ?? SQL INJECTION VULNERABILITY
    rows, err := database.QueryContext(ctx, fmt.Sprintf("SELECT * FROM users WHERE email = '%s' AND password = '%s'", email, password))
    if err != nil {
        return err
    }
    defer rows.Close()

    if !rows.Next() {
        return fmt.Errorf("invalid email or password")
    }

    // do something

    return nil
}

func setupDB() {
    db, err := waffleSQL.Open("sqlite3", "file::memory:?cache=shared")
    if err != nil {
        panic(err)
    }

    if _, err := db.Exec("CREATE TABLE users(id int, email text, password text);"); err != nil {
        panic(err)
    }

    if _, err := db.Exec("INSERT INTO users(id, email, password) VALUES(1, 'user@example.com', 'password');"); err != nil {
        panic(err)
    }

    database = db
}

現(xiàn)在，當(dāng)我們嘗試 SQL 注入攻擊時(shí)，Waffle 會(huì)阻止它：

diff --git a/main.go b/main.go
index 90b8197..9fefb06 100644
--- a/main.go
+++ b/main.go
@@ -3,9 +3,15 @@ package main
 import (
    "context"
    "database/sql"
+   "errors"
    "fmt"
    "net/http"

+   "github.com/sitebatch/waffle-go"
+   "github.com/sitebatch/waffle-go/action"
+   waffleSQL "github.com/sitebatch/waffle-go/contrib/database/sql"
+   waffleHTTP "github.com/sitebatch/waffle-go/contrib/net/http"
+
    _ "github.com/mattn/go-sqlite3"
 )

@@ -19,7 +25,9 @@ func newHTTPHandler() http.Handler {
    mux := http.NewServeMux()
    mux.Handle("/login", http.HandlerFunc(loginController))

-   return mux
+   handler := waffleHTTP.WafMiddleware(mux)
+
+   return handler
 }

 func main() {
@@ -28,6 +36,9 @@ func main() {
        Handler: newHTTPHandler(),
    }

+   // Start waffle with debug mode
+   waffle.Start(waffle.WithDebug())
+
    srv.ListenAndServe()
 }

@@ -36,6 +47,11 @@ func loginController(w http.ResponseWriter, r *http.Request) {
    password := r.FormValue("password")

    if err := login(r.Context(), email, password); err != nil {
+       var actionErr *action.BlockError
+       if errors.As(err, &actionErr) {
+           return
+       }
+
        http.Error(w, err.Error(), http.StatusInternalServerError)
        return
    }
@@ -60,7 +76,7 @@ func login(ctx context.Context, email, password string) error {
 }

 func setupDB() {
-   db, err := sql.Open("sqlite3", "file::memory:?cache=shared")
+   db, err := waffleSQL.Open("sqlite3", "file::memory:?cache=shared")
    if err != nil {
        panic(err)
    }

此 HTML 是 waffle 預(yù)設(shè)回傳的錯(cuò)誤訊息，如下所示：

如果使用佔(zhàn)位符：

使用佔(zhàn)位符時(shí)，Waffle 會(huì)辨識(shí)出不可能進(jìn)行 SQL 注入，並且不會(huì)阻止要求：

$ curl -i -X POST 'http://localhost:8000/login' \
    --data "email=user@example.com' OR 1=1--&password=" -i
HTTP/1.1 403 Forbidden
Date: Sun, 05 Jan 2025 10:38:22 GMT
Content-Length: 1574
Content-Type: text/html; charset=utf-8

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>Access Denied</title>

# Fix SQL injection vulnerability
diff --git a/main.go
b/main.go
index 9fefb06..5b482f2 100644
--- a/main.go
+++ b/main.go
@@ -60,7 +60,7 @@ func loginController(w http.ResponseWriter, r *http.Request) {
 }

 func login(ctx context.Context, email, password string) error {
-   rows, err := database.QueryContext(ctx, fmt.Sprintf("SELECT * FROM users WHERE email = '%s' AND password = '%s'", email, password))
+   rows, err := database.QueryContext(ctx, "SELECT * FROM users WHERE email = ? AND password = ?", email, password)
    if err != nil {
        return err
    }

請(qǐng)注意，即使在這種情況下，Waffle 仍然可以像基於雲(yún)端的 WAF 一樣檢測(cè)嘗試的 SQL 注入（儘管它不會(huì)阻止它）：

# Waffle won't block the request since SQL injection isn't possible
$ curl -i -X POST 'http://localhost:8000/login' \
    --data "email=user@example.com' OR 1=1--&password="
HTTP/1.1 500 Internal Server Error
Content-Type: text/plain; charset=utf-8
X-Content-Type-Options: nosniff
Date: Sun, 05 Jan 2025 10:49:05 GMT
Content-Length: 26

invalid email or password

Waffle 偵測(cè)與預(yù)防的攻擊

雖然我們已經(jīng)示範(fàn)了 SQL 注入預(yù)防，但 Waffle 可以偵測(cè)並防止各種攻擊：

• 已知安全掃描儀的偵察
• 目錄遍歷
• XSS
• SQL注入
• 敏感檔案存取
• SSRF
• 帳號(hào)接管

有關(guān)更多詳細(xì)信息，請(qǐng)查看規(guī)則列表文件。

規(guī)則持續(xù)更新，歡迎貢獻(xiàn)。

結(jié)論

透過將 Waffle 整合到您的應(yīng)用程式中，您可以準(zhǔn)確地偵測(cè)和預(yù)防攻擊。

特定於框架的實(shí)作指南和詳細(xì)使用說明，請(qǐng)參閱文件中的指南部分。

Waffle 正在積極開發(fā)中。我們歡迎回饋和貢獻(xiàn)。

• https://github.com/sitebatch/waffle-go

以上是Waffle 簡(jiǎn)介：Go 應(yīng)用程式的應(yīng)用程式內(nèi) WAF的詳細(xì)內(nèi)容。更多資訊請(qǐng)關(guān)注PHP中文網(wǎng)其他相關(guān)文章！