门神WAF众测正式启动!
WEB应用防火墙(Web Application Firewall,WAF)承担着抵御常见web攻击的作用,通常也作为web业务抵挡攻击的第一道防线,要能保障有效拦截黑客入侵,关键在于web攻击检测的有效性。
腾讯安平门神WAF一直在探索一些新的检测方案,并搭建了靶场环境部署新的门神WAF智能引擎检测,并进行为期一个月的安全众测,欢迎各位业界同仁测试拍砖。
发现绕过可通过TSRC平台提交,或联系TSRC工作人员。
以下为众测详情:
↓↓↓
众测时间
即日起至2020年4月23日
挑战环境
1)sql注入点:
http://111.231.117.191/cc023414493d245c7080df0ba4f52b51/int.php?id=1
2)XSS点:
http://111.231.117.191/cc023414493d245c7080df0ba4f52b51/xss1.php?output=1
评分标准
1、SQL注入漏洞点评分标准:绕过WAF防护,读取到 information_schema.tables 表内的数据信息或数据库内的 flag 信息;提交绕过 payload 并简要描述绕过思路,即可获得5积分,300安全币(等同于1500人民币)的漏洞赏金:
2、 XSS漏洞利用评分标准:
i. 绕过WAF防护,可以在 Chrome/firefox 浏览器最新 Stable 版本下执行 alert/confirm/prompt 弹窗函数;提交绕过payload 并简要描述绕过思路,即可获得3积分,45安全币(等同于225人民币)的漏洞赏金;
ii. 绕过WAF防护,可以在 Chrome/firefox 浏览器最新 Stable 版本下构造 payload 读取 cookie 并发送到第三方域站点;提交绕过 payload 并简要描述绕过思路,即可获得4积分,60安全币(等同于300人民币)的漏洞赏金。
规则要求
1.如同时有多个选手提交了重复的绕过方案,以最先提交的选手为准,先到先得;
2.禁止入侵靶场机,在靶场机上执行命令,恶意下载靶场机文件
3.禁止利用web站点之外的漏洞,如操作系统,数据库exp
4.禁止长时间影响系统性能暴力发包扫描测试
5.禁止使用对他人有害的代码(如蠕虫/获取他人敏感信息的操作等)
6.只对提供的漏洞参数点进行绕过测试获取指定信息即可,禁止测试其他漏洞
7.不可与其他测试选手共享思路,不得私自公开绕过技巧和payload
8.请勿扰乱其他测试选手进行测试,不要破坏主机环境
提交方式
请将符合评分标准和规则的报告提交到TSRC (https://security.tencent.com/index.php/report/add);
标题以“[门神WAF挑战赛]”开头,先到先得。
我们是TSRC
互联网安全的守护者
用户数据安全的保卫者
我们找漏洞、查入侵、防攻击
与安全行业精英携手共建互联网生态安全
期待正能量的你与我们结盟!
微信号:tsrc_team
关注公众号:拾黑(shiheibook)了解更多
[广告]赞助链接:
四季很好,只要有你,文娱排行榜:https://www.yaopaiming.com/
让资讯触达的更精准有趣:https://www.0xu.cn/
随时掌握互联网精彩
- 1 奋力打开改革发展新天地 7914681
- 2 保时捷断臂求生 7931892
- 3 刘强东提前发年终奖 7833961
- 4 “冷资源”里的“热经济” 7722251
- 5 全球约有1.9亿妇女为内异症患者 7694979
- 6 88万买房入住后发现是凶宅 法院判了 7529485
- 7 #胡锡进称大学生要先工作不应啃老# 7472213
- 8 张馨予帮妈妈成功追星张颂文 7363726
- 9 会计发现领导语气不对劲保住296万 7200519
- 10 医生:舌头舔嘴唇是坏习惯 7108476