简体中文 | English
BlazeHTTP 是一款简单易用的 WAF 防护效果测试工具。
- 📦 样本丰富:目前总样本33669条,持续更新中...
- 🚀 无需配置:提供图形化界面和命令行版本,可直接通过 Release 下载预编译版本,也可以克隆代码本地自行编译
- 📖 报告导出:导出所有样本的执行结果,包括样本属性,执行时间,状态码,是否拦截等
指标 | 描述 | 统计方法 |
---|---|---|
检出率 | 用来反应 WAF 检测能力的全面性,没有检出即为 ”漏报“。 | 攻击样本拦截数量 |
误报率 | 用来反应对正常流量的干扰,不靠谱的结果即为 ”误报“。 | 正常样本拦截数量 |
准确率 | 准确率是检出率和误报率的综合指标,避免漏报和误报顾此失彼。 | |
检测耗时 | 用来反应 WAF 性能,耗时越大则性能越差。 |
# 正常样本:testcases/00/02/5ebf56a710da27b73a9ad59219f0.white
GET /[email protected]/lib/hooks/useHeights.js HTTP/1.1
Host: npm.staticblitz.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/114.0.0.0 Safari/537.36
Accept: */*
Origin: https://stackblitz.com
Sec-Fetch-Site: cross-site
Sec-Fetch-Mode: cors
Sec-Fetch-Dest: empty
Referer: https://stackblitz.com/
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9,en-US;q=0.8,en;q=0.7
# 黑样本:testcases/8a/36/0bbc7685860c526e33f3cbd83f9c.black
GET /vulnerabilities/sqli_blind/?id=1%27+or+%27%27%3D%27&Submit=Submit HTTP/1.1
Host: 10.10.3.128
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/114.0.0.0 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Referer: http://10.10.3.128/vulnerabilities/sqli_blind/?id=1%27+and+%27%27%3D%27&Submit=Submit
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9,en-US;q=0.8,en;q=0.7
Connection: close
CloudFlare vs ModSecurity vs 雷池
指标 | CloudFlare,免费版本 | ModSecurity,PARANOIA级别1 | ModSecurity,PARANOIA级别4 | SafeLine,免费版本,平衡模式 | SafeLine,免费版本,严格模式 |
---|---|---|---|---|---|
总样本数量 | 33669 | 33669 | 33669 | 33669 | 33669 |
成功 | 33350 | 33669 | 33669 | 33669 | 33669 |
错误 | 319 | 0 | 0 | 0 | 0 |
检测率(越高越好) | 10.70%(恶意样本总数:570,正确拦截:61,漏报:509) | 69.74%(恶意样本总数:575,正确拦截:401,漏报:174) | 🏆 94.61%(恶意样本总数:575,正确拦截:544,漏报:31) | 71.65%(恶意样本总数:575,正确拦截:412,漏报:163) | 76.17%(恶意样本总数:575,正确拦截:438,漏报:137) |
误报率(越低越好) | 0.07%(正常样本总数:32780,正确放行:32757,误报:23) | 17.58%(正常样本总数:33094,正确放行:27275,误报:5819) | 52.46%(正常样本总数:33094,正确放行:15732,误报:17362) | 🏆 0.07%(正常样本总数:33094,正确放行:33071,误报:23) | 0.22%(正常样本总数:33094,正确放行:33021,误报:73) |
准确率(越高越好) | 98.40%(正确拦截 + 正确放行)/ 总样本数量 | 82.20%(正确拦截 + 正确放行)/ 总样本数量 | 48.34%(正确拦截 + 正确放行)/ 总样本数量 | 🏆 99.45%(正确拦截 + 正确放行)/ 总样本数量 | 99.38%(正确拦截 + 正确放行)/ 总样本数量 |
平均时间 | 288.96 毫秒 | 31.15 毫秒 | 28.89 毫秒 | 70.05 毫秒 | 64.34 毫秒 |
Docker 容器运行
# 下载镜像
docker pull chaitin/blazehttp:latest
# 开始测试 http://127.0.0.1:9444 是 WAF 的地址 (根据实际情况修改)
docker run --rm --net=host chaitin/blazehttp:latest /app/blazehttp -t <http://127.0.0.1:9444>
GitHub CI 预编译的产物已上传 Release,可以直接下载最新的版本使用。
命令行运行
GUI 运行 (MacOS & Windows)
如果 MacOS 双击打开报错不受信任或者移到垃圾箱,执行下面命令后再启动即可:
sudo xattr -d com.apple.quarantine blazehttp_1.0.0_darwin_arm64.app
项目只依赖了 Go 语言,首先你的环境上需要有 Go,可以在这里下载
# 克隆代码
git clone https://github.com/chaitin/blazehttp.git && cd blazehttp
# 本地编译
bash build.sh # 执行后在 build 目录下看到 blazehttp
# 运行
./blazehttp -t https://example.org
GUI 是基于 fyne 实现。
# 克隆代码
git clone https://github.com/chaitin/blazehttp.git && cd blazehttp
# 本地运行
go run gui/main.go
![image](https://private-user-images.githubusercontent.com/30664688/336770066-3d7f90aa-eb6d-43b0-adea-251114c6ea43.png?jwt=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJnaXRodWIuY29tIiwiYXVkIjoicmF3LmdpdGh1YnVzZXJjb250ZW50LmNvbSIsImtleSI6ImtleTUiLCJleHAiOjE3MjQyNDkzOTksIm5iZiI6MTcyNDI0OTA5OSwicGF0aCI6Ii8zMDY2NDY4OC8zMzY3NzAwNjYtM2Q3ZjkwYWEtZWI2ZC00M2IwLWFkZWEtMjUxMTE0YzZlYTQzLnBuZz9YLUFtei1BbGdvcml0aG09QVdTNC1ITUFDLVNIQTI1NiZYLUFtei1DcmVkZW50aWFsPUFLSUFWQ09EWUxTQTUzUFFLNFpBJTJGMjAyNDA4MjElMkZ1cy1lYXN0LTElMkZzMyUyRmF3czRfcmVxdWVzdCZYLUFtei1EYXRlPTIwMjQwODIxVDE0MDQ1OVomWC1BbXotRXhwaXJlcz0zMDAmWC1BbXotU2lnbmF0dXJlPThhMWJiMTg1YzIyNTQyMTcxZjk3MjgxZmI1Mjk0NGY3ZWQ4NGJhMDE3ZDMwMGU2NTc1MzBkMzdiODQ1MjhjMGImWC1BbXotU2lnbmVkSGVhZGVycz1ob3N0JmFjdG9yX2lkPTAma2V5X2lkPTAmcmVwb19pZD0wIn0.yYDIcC3XNPUzI7GWUIwA6W52mOdrTWgxAJ2LjsrVfBk)
如果需要本地打包,可以参考 fyne 的打包文档 如果需要跨平台打包,也可以参考 fyne-cross
期待大佬们的贡献,添加新样本,新功能,修复 Bug,优化性能等等等等都非常欢迎👏
用起来还不错的话,帮忙点个 Star ✨