WAF测试

一、WAF测试工具

1.1 Gotestwaf

下载地址：https://github.com/wallarm/gotestwaf可通过Docker部署快速搭建。

描述：GoTestWAF 是一种用于 API 和 OWASP 攻击模拟的工具，支持广泛的 API 协议，包括 REST、GraphQL、gRPC、SOAP、XMLRPC 等。

它旨在评估 Web 应用程序安全解决方案，例如 API 安全代理、Web 应用程序防火墙、 IPS、API 网关等。

1.2 BlazeHTTP

下载地址：https://github.com/chaitin/blazehttp

描述：BlazeHTTP 是一款简单易用的 WAF 防护效果测试工具。

1.3 OWASP ZAP

下载地址：https://github.com/zaproxy/zaproxy

描述：OWASP ZAP（Zed Attack Proxy）是一个由OWASP（开放网络应用安全项目）提供的安全测试工具，用于发现Web应用中的安全漏洞，包含多种安全测试策略和插件，可以系统地评估WAF的规则集。

二、使用教程

2.1 Gotestwaf使用教程

通过访问下载链接https://github.com/wallarm/gotestwaf有详细说明，这里通过Dockers拉取镜像

docker pull wallarm/gotestwaf

docker run --rm --network="host" -v ${PWD}/reports:/app/reports wallarm/gotestwaf --url=https://www.test.com  --noEmailReport --blockStatusCodes=405

需要注意这里目录reports是在当前目录下创建的，需要docker有写入权限，也可以修改成自己想要的目录并使用chmod命令赋予文件夹权限，我这里拦截状态码为405，默认是403，需添加选项“--blockStatusCodes=405”

跑完会生成pdf报告

2.2 BlazeHTTP使用教程

通过链接https://github.com/chaitin/blazehttp下载对应的版本安装，直接运行即可使用。

具体信息在readme文档中有说明

运行结果

2.3 OWASP ZAP使用教程

这个软件可以算漏洞扫描检测软件，与前两款转测WAF不同，有对应的检测数据。

通过下载地址：https://github.com/zaproxy/zaproxy下载对应系统版本即可

Kali新版已经不自带OWASP ZAP软件，这里通过kali下载

更新一下软件包

apt-get upgrade

下载

apt-get install zaproxy