Watchbird源码解析：PHP WAF核心防御机制的实现原理

Watchbird源码解析PHP WAF核心防御机制的实现原理【免费下载链接】awd-watchbirdA powerful PHP WAF for AWD项目地址: https://gitcode.com/gh_mirrors/aw/awd-watchbirdWatchbird是一款专为AWDAttack With Defense场景设计的PHP WAFWeb应用防火墙通过多层次防护机制保护Web应用免受各类常见攻击。本文将深入解析其核心防御原理帮助开发者理解如何通过代码层面构建安全防护体系。一、防御体系架构概览Watchbird采用模块化设计将防御功能划分为多个独立模块主要包括基础防护模块处理HTTP请求过滤、特殊字符检测和编码转换攻击检测模块识别SQL注入、RCE、LFI等常见攻击类型响应监控模块检测响应内容中的敏感信息泄露日志审计模块记录攻击行为并提供可视化分析界面核心防御逻辑集中在watchbird-source.php文件中通过watchbird类实现主要防护功能配合configmanager类进行配置管理。二、关键防御机制实现2.1 请求过滤与预处理Watchbird在请求处理的早期阶段就开始进行过滤主要通过以下方式实现1. 递归解码处理针对URL中的二次编码绕过问题filter_0x25函数循环替换%25为%直至不存在二次编码function filter_0x25($str){ if(strpos($str,%25) ! false){ $str str_replace(%25, %, $str); return $this-filter_0x25($str); }else{ return $str; } }2. 特殊字符检测watch_special_char函数检查不可见字符和危险字符防止截断攻击和特殊构造的payloadfunction watch_special_char($str){ global $config; $txt ; for($i0;$istrlen($str);$i){ $ascii ord($str[$i]); if($ascii126 || $ascii 32){ // 检测非打印字符 if(!in_array($ascii, array(9,10,13))){ // 允许Tab、换行、回车 $txt . Interrupt; } break; } if (preg_match(/\||\|\;|\,|\|\||/, $str[$i])) // 检测危险字符 { $txt . Catch attack: Suspected attack character .$str[$i]. ; break; } } // 检测到危险字符时记录日志并阻断 if ($txt ! $config-waf_special_char true){ $this-write_attack_log($txt); $this-logo(); } return $str; }2.2 多维度攻击检测Watchbird实现了对多种攻击类型的检测核心逻辑在watch_attack_keyword方法中SQL注入防护使用正则表达式匹配SQL注入特征if(preg_match($config-sql_blacklist, $str)){ if($config-waf_sql true){ $this-write_attack_log(Catch attack: SQLI ); $this-logo(); } }其中sql_blacklist包含常见SQL注入关键词/drop |dumpfile\b|INTO FILE|union select|outfile\b|load_file\b|multipoint\(/iRCE攻击防护针对远程代码执行攻击Watchbird维护了全面的函数和关键词黑名单if(preg_match($config-rce_blacklist, $str)){ if($config-waf_rce true){ $this-write_attack_log(Catch attack: RCE ); $this-logo(); } }黑名单包含eval、assert、system等危险函数以及LD_PRELOAD等环境变量注入关键词。文件包含防护检测路径遍历和文件包含攻击if(substr_count($str,$_SERVER[PHP_SELF]) 2){ $tmp str_replace($_SERVER[PHP_SELF], , $str); if(preg_match(/\.\.|.*\.php[2357]{0,1}|\.phtml/i, $tmp)){ if($config-waf_lfi true){ $this-write_attack_log(Catch attack: LFI/LFR ); $this-logo(); } } }2.3 文件上传防护watch_upload方法实现了对文件上传的严格控制文件类型检查验证文件扩展名是否在白名单中if(!preg_match($config-upload_whitelist, $ext)){ unlink($_FILES[$key][tmp_name]); echo Upload success! Check upload/.substr(md5($_FILES[$key][name]), 0, rand(10, 30))...$ext; die(); }内容检测扫描文件内容是否包含PHP代码$new_file_content file_get_contents($_FILES[$key][tmp_name]); if (preg_match(/?php/i, $new_file_content) 1){ $this-write_attack_log(Catch attack: Evil Upload ); copy($_FILES[$key][tmp_name], $this-uploaddir . date(d_H_i_s) . . . $ext . .txt); unlink($_FILES[$key][tmp_name]); die(); }2.4 响应内容监控Watchbird实现了独特的响应内容监控机制通过getcont方法将请求转发到本地服务器然后检测响应中是否包含敏感信息function getcont(){ global $config; // ... 构建请求头和内容 $fp fsockopen($config-remote_ip, $config-remote_port, $errno, $errstr, 30); // ... 发送请求并获取响应 $this-response_content stream_get_contents($fp); fclose($fp); // 检测响应中是否包含flag if (preg_match($content_disallow, $this-response_content)!0){ $this-write_flag_log(); die($waf_fake_flag2); // 返回虚假flag } }三、配置与规则管理configmanager类负责管理WAF的各项配置包括防御级别、黑白名单和日志设置等class configmanager { // 功能开启选项 public $flag_path /flag; // flag所在路径 public $LDPRELOAD_PATH /var/www/html/waf.so; //共享库路径 public $password_sha1 unset; public $open_basedir /; // 各模块开关 public $waf_headers 1; // headers防御 public $waf_ddos 1; // ddos防御 public $waf_upload 1; // 上传防御 public $waf_sql 1; // sql防御 public $waf_rce 1; // rce防御 // ... 其他配置 }管理员可以通过Web控制台ui类实现可视化管理这些配置包括开启/关闭特定防护模块、更新规则库等。四、部署与使用Watchbird提供了便捷的安装脚本可以通过命令行快速部署到目标Web目录# 安装命令 php watchbird.php --install /var/www/html # 卸载命令 php watchbird.php --uninstall /var/www/html安装后WAF会自动在所有PHP文件开头插入包含语句实现对整个Web应用的防护。五、总结与扩展Watchbird通过多层次防御策略为AWD场景提供了全面的安全防护。其核心优势在于全面的攻击检测覆盖SQL注入、RCE、LFI等多种常见攻击类型深度内容监控不仅检测请求还监控响应内容防止敏感信息泄露灵活的配置管理可通过Web控制台调整防护策略低侵入式部署自动注入防护代码无需修改应用逻辑开发者可以根据实际需求扩展其功能例如添加机器学习异常检测、集成威胁情报等进一步提升Web应用的安全防护能力。通过理解Watchbird的防御机制开发者可以更好地掌握Web安全防护的核心原理为自己的应用构建更健壮的安全体系。【免费下载链接】awd-watchbirdA powerful PHP WAF for AWD项目地址: https://gitcode.com/gh_mirrors/aw/awd-watchbird创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考