Web Application Firewall:Extensions

Exemple de requête HTTP

POST /api/v1/orders?source=web&campaign=spring2024 HTTP/1.1
Host: shop.example.com
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7)
Cookie: session_id=abc123xyz; user_prefs=lang%3Den%26theme%3Ddark
Content-Type: application/json
Content-Length: 68
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.xxxxx
Accept: application/json

eyJwcm9kdWN0X2lkIjogNzg5LCAicXVhbnRpdHkiOiAyLCAidXJnZW50IjogdHJ1ZX0=

Lecture des données de requête

Toutes les interfaces renvoient une chaîne de caractères. Si un champ n'existe pas, une chaîne vide est retournée.

Lire la méthode

-- POST --
local method = aliwaf.req.get_method()

Lire l'URI

-- /api/v1/orders --
local uri = aliwaf.req.get_uri()

Lire le domaine

-- shop.example.com --
local domain = aliwaf.req.get_domain()

Lire la chaîne de requête

-- source=web&campaign=spring2024 --
local query = aliwaf.req.get_query()

Lire un paramètre de requête

-- web --
local source = aliwaf.req.get_arg('source')

Lire un cookie

-- abc123xyz --
local session_id = aliwaf.req.get_cookie('session_id')

Lire un en-tête

-- Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.xxxxx --
local auth = aliwaf.req.get_header('Authorization')

Lire le corps

Vérifier l'état du corps de la requête

• Réception complète du corps

  Item	Type	Description
  Parameter	-	-
  Return value	boolean	true indique que le corps de la requête a été entièrement reçu. false signifie que des données sont encore en attente.

  local last = aliwaf.func.is_last_fragment_arrived()

• Troncature du corps

  Item	Type	Description
  Parameter	-	-
  Return value	boolean	true signale que le corps de la requête a dépassé la limite et a été tronqué. false confirme que le corps est intact. Par défaut, WAF conserve jusqu'à 128 Ko du corps de la requête. Les requêtes dépassant cette limite sont tronquées (la partie excédentaire est ignorée).

  local discard = aliwaf.func.is_request_body_discarded()

Attendre le corps

Les corps de requête arrivent chez WAF en streaming. Il est donc possible que le corps ne soit pas encore totalement reçu lors de l'exécution du script. Pour traiter le corps complet, demandez explicitement au framework d'attendre la réception intégrale avant de réexécuter le script.

aliwaf.func.wait_request_body()

Exemple : Lecture du corps de la requête

-- Body not fully received; wait for it --
if not aliwaf.func.is_last_fragment_arrived() then
  aliwaf.func.wait_request_body()
  return
end

-- Body fully received; check if truncated --
if aliwaf.func.is_request_body_discarded() then
  return
end

-- eyJwcm9kdWN0X2lkIjogNzg5LCAicXVhbnRpdHkiOiAyLCAidXJnZW50IjogdHJ1ZX0= --
local body = aliwaf.req.get_body()

-- TODO: Apply business logic to the complete body --

Fonctions utilitaires courantes

Encodage et décodage de base

Les interfaces d'encodage et de décodage URL, hexadécimal et Base64 acceptent un paramètre de type chaîne et renvoient une chaîne traitée. En cas d'échec, elles retournent une chaîne vide.

Encodage et décodage URL

• escape_uri

  Item	Type	Description
  Parameter	string	Chaîne brute à encoder.
  Return value	string	Chaîne encodée.

• unescape_uri

  Item	Type	Description
  Parameter	string	Chaîne encodée en URL à décoder.
  Return value	string	Chaîne brute décodée.

-- a%20b --
local data1 = aliwaf.util.escape_uri('a b')

-- a b --
local data2 = aliwaf.util.unescape_uri('a%20b')

Encodage et décodage hexadécimal

• hex_encode

  Item	Type	Description
  Parameter	string	Chaîne binaire à encoder.
  Return value	string	Chaîne encodée en hexadécimal majuscule.

• hex_decode

  Item	Type	Description
  Parameter	string	Chaîne hexadécimale à décoder.
  Return value	string	Chaîne brute décodée. Renvoie une chaîne vide "" si l'entrée est invalide.

-- DEADBEEF --
local data1 = aliwaf.util.hex_encode(string.char(0xDE, 0xAD, 0xBE, 0xEF))

-- \xDE\xAD\xBE\xEF --
local data2 = aliwaf.util.hex_decode('DEADBEEF')

Encodage et décodage Base64

• base64_encode

  Item	Type	Description
  Parameter	string	Chaîne brute à encoder.
  Return value	string	Chaîne encodée en Base64.

• base64_decode

  Item	Type	Description
  Parameter	string	Chaîne Base64 à décoder.
  Return value	string	Chaîne brute décodée. Renvoie une chaîne vide "" si l'entrée est invalide.

-- aGVsbG8= --
local data1 = aliwaf.util.base64_encode('hello')

-- hello --
local data2 = aliwaf.util.base64_decode('aGVsbG8=')

MD5/CRC/SHA

• md5

  Item	Type	Description
  Parameter	string	Chaîne brute à hacher.
  Return value	string	Empreinte MD5 au format hexadécimal minuscule de 32 caractères.

• sha256

  Item	Type	Description
  Parameter	string	Chaîne brute à hacher.
  Return value	string	Empreinte SHA-256 au format hexadécimal minuscule de 64 caractères.

• crc32

  Item	Type	Description
  Parameter	string	Chaîne brute à traiter.
  Return value	integer	Somme de contrôle CRC32 (entier non signé 32 bits).

-- 5d41402abc4b2a76b9719d911017c592 --
local md5 = aliwaf.util.md5('hello')

-- 2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824 --
local sha = aliwaf.util.sha256('hello')

-- 3287646509 --
local crc = aliwaf.util.crc32('hello')

Chiffrement et déchiffrement (AES/DES)

local data1 = aliwaf.util.evp_encrypt('aes-128-cbc', 'key-12345678-key', 'iv-1234567890-iv', 'hello')

local data2 = aliwaf.util.evp_decrypt('aes-128-cbc', 'key-12345678-key', 'iv-1234567890-iv', data1)

Signature et vérification (ES256)

local sign = aliwaf.util.es256_sign('private_key-1234', 'hello')

local result = aliwaf.util.es256_verify('public_key-12345', 'hello', sign)

Temps

-- Current millisecond-level timestamp (integer) --
local timestamp = aliwaf.util.get_current_ms()

Fonctions d'aide métier

Les fonctions d'aide métier assurent la coordination entre les scripts Lua et le framework WAF.

Action

-- Take action on the current request based on the pre-selected action --
aliwaf.func.punish()