Go tabanlı web uygulamaları için XSS, SQLi ve diğer web saldırılarına karşı koruma
Bir geliştirici, web tabanlı saldırılarla mücadele etmek için tasarlanmış Go uygulamaları için yeni bir araç yayınladı.
Geliştirici ve güvenlik mühendisi Dwi Siswanto, 2 Ocak’ta açık kaynaklı teler-waf yazılımını ortaya çıkardı. 24 yaşındaki Twitter’da teknolojinin “Go tabanlı web uygulamalarının güvenliğini artırmak” için tasarlandığını söyledi.
GitHub’da bulunan teler-waf, izinsiz giriş tespit sistemi (IDS) işlevselliğini mevcut uygulamalara entegre etmek için bir arabirimle HTTP ara yazılımı görevi görür.
Teler-waf’ın güvenlik işlevleri, siteler arası komut dosyası çalıştırma (XSS) saldırıları ve SQL enjeksiyonları gibi yaygın web tabanlı tehditlere karşı koruma içerir.
Ayrıca araç, bilinen tehdit aktörleri ve botnet’lerle bağlantılı kötü IP adreslerini algılar; performans sorunlarına neden olduğundan veya yasa dışı veri kazıma gerçekleştirdiğinden şüphelenilen kötü amaçlı HTTP yönlendirenleri, tarayıcıları ve kazıyıcıları; ve dizin tabanlı kaba kuvvet saldırılarıyla ilişkili konumlar.
Kaputun Altında
Ile konuşmak günlük yudumTeler-waf’ı bağımsız olarak geliştiren Siswanto, yazılımın çeşitli faydaları olduğunu söyledi.
Örneğin önemli bir özellik, bilinen güvenlik açıklarını ve kötü amaçlı saldırı modellerini izleyen günlük olarak güncellenen veri kümelerinin kullanılmasıdır. Dış kaynaklar arasında PHPIDS projesinden bilgiler, Project Discovery ekibinden CVE listeleri ve Nginx Ultimate Bad Bot Blocker ve Crawler Detect’ten alınan koleksiyonlar bulunur.
SWAG KAZAN Burp Suite ürünlerini kazanma şansına sahip olmak için okuyucu anketimizi doldurun
Ek olarak, teler-waf, Siswanto’nun “herhangi bir çerçeveye entegrasyonu kolaylaştırır ve [is] ayrıca, belirli bir web uygulamasının özel ihtiyaçlarına göre uyarlanmasına izin verecek şekilde yüksek düzeyde yapılandırılabilir.
Geliştirici, “Bir istemci, teleler-waf tarafından korunan bir rotaya istekte bulunduğunda, bilinen kötü amaçlı kalıpları tespit etmek için istek önce teleler IDS’ye göre kontrol edilir” diyor. “Kötü amaçlı kalıplar tespit edilmezse, istek daha sonra işlenmek üzere iletilir.”
Göster ve gönder
Siswanto aynı zamanda gerçek zamanlı bir HTTP izinsiz giriş tespit ve tehdit uyarı sistemi olan telelerin de yaratıcısıdır.
Go çerçevesinin popülaritesinin onu teleler IDS’yi eski bir projeye, otomatik bir web sitesi tarama engelleyici paketi olan AntiScanScanClub’a benzetmeye ikna ettiğini söyledi.
“Amacım, teleler IDS işlevini yalnızca algılama için değil, aynı zamanda erken önleme için de kullanmaktı” diye açıklıyor. “Teler-waf’ın AntiScanScanClub’dan bir ilerleme olduğunu söyleyebilirim.”
Gelecekte katkıda bulunacakların katılması için umutlar olmasına ve bazı kilometre taşları “hala belirleniyor” olsa da, şu anda resmi bir geliştirme zaman çizelgesi yok.
Teler-waf’ın ilk ve son sürümü olan v0.0.1, deneysel olarak etiketlenmiştir.
Siswanto şunları söyledi: [is] deneysel çünkü şu anda bazı YAPILACAKLAR listesi var I [have] hem yapılandırmayı hem de performansı etkileyebilecek büyük değişiklikler olabilecek ele alınması gerekenleri yeniden gözden geçirmek. Teler-waf’ın yakın gelecekte stabil hale gelip üretimde kullanıma hazır hale gelmesini temenni ediyorum.”
Go popülaritesini artırmaya devam ederken, diğer geliştiriciler de dil kullanılarak oluşturulmuş uygulamaları korumak için araçlar yayınladılar. Örneğin Aralık ayında Viktor Chuchurski ve Alessandro Cotto, sunucu tarafı istek sahteciliği (SSRF) saldırılarını engellemek için tasarlanmış yazılım olan Safeurl’ü piyasaya sürdü.
İLİŞKİLİ Safeurl HTTP kitaplığı, Go uygulamalarına SSRF koruması sağlar