Web Application Firewall:Extensions

Contoh permintaan HTTP

POST /api/v1/orders?source=web&campaign=spring2024 HTTP/1.1
Host: shop.example.com
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7)
Cookie: session_id=abc123xyz; user_prefs=lang%3Den%26theme%3Ddark
Content-Type: application/json
Content-Length: 68
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.xxxxx
Accept: application/json

eyJwcm9kdWN0X2lkIjogNzg5LCAicXVhbnRpdHkiOiAyLCAidXJnZW50IjogdHJ1ZX0=

Baca data permintaan

Semua antarmuka mengembalikan string. Jika bidang tidak ada, string kosong dikembalikan.

Baca metode

-- POST --
local method = aliwaf.req.get_method()

Baca URI

-- /api/v1/orders --
local uri = aliwaf.req.get_uri()

Baca domain

-- shop.example.com --
local domain = aliwaf.req.get_domain()

Baca query

-- source=web&campaign=spring2024 --
local query = aliwaf.req.get_query()

Baca parameter kueri

-- web --
local source = aliwaf.req.get_arg('source')

Baca cookie

-- abc123xyz --
local session_id = aliwaf.req.get_cookie('session_id')

Baca header

-- Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.xxxxx --
local auth = aliwaf.req.get_header('Authorization')

Baca body

Periksa status request body

• Apakah body telah sepenuhnya diterima

  Item	Type	Description
  Parameter	-	-
  Return value	boolean	true menunjukkan bahwa request body telah sepenuhnya diterima. false menunjukkan bahwa masih ada data yang tertunda.

  local last = aliwaf.func.is_last_fragment_arrived()

• Apakah body telah dipotong

  Item	Type	Description
  Parameter	-	-
  Return value	boolean	true menunjukkan bahwa request body melebihi batas dan dipotong. false menunjukkan bahwa request body utuh. Secara default, WAF menyimpan hingga 128 KB dari request body. Permintaan yang melebihi batas ini akan dipotong (bagian yang melebihi dibuang).

  local discard = aliwaf.func.is_request_body_discarded()

Tunggu body

Request body tiba di WAF secara streaming, sehingga body mungkin belum sepenuhnya diterima saat skrip dieksekusi. Untuk memproses body secara lengkap, beri tahu framework secara eksplisit untuk menunggu body lengkap sebelum mengeksekusi ulang skrip.

aliwaf.func.wait_request_body()

Contoh: Baca request body

-- Body belum sepenuhnya diterima; tunggu --
if not aliwaf.func.is_last_fragment_arrived() then
  aliwaf.func.wait_request_body()
  return
end

-- Body telah sepenuhnya diterima; periksa apakah dipotong --
if aliwaf.func.is_request_body_discarded() then
  return
end

-- eyJwcm9kdWN0X2lkIjogNzg5LCAicXVhbnRpdHkiOiAyLCAidXJnZW50IjogdHJ1ZX0= --
local body = aliwaf.req.get_body()

-- TODO: Terapkan logika bisnis pada body lengkap --

Fungsi utilitas umum

Encoding dan decoding dasar

Antarmuka encoding/decoding URL, hex, dan Base64 menerima parameter string dan mengembalikan string yang telah diproses. Jika gagal, mereka mengembalikan string kosong.

Encoding dan decoding URL

• escape_uri

  Item	Type	Description
  Parameter	string	String mentah yang akan di-encode.
  Return value	string	String yang telah di-encode.

• unescape_uri

  Item	Type	Description
  Parameter	string	String yang telah di-encode URL yang akan didecode.
  Return value	string	String mentah yang telah didecode.

-- a%20b --
local data1 = aliwaf.util.escape_uri('a b')

-- a b --
local data2 = aliwaf.util.unescape_uri('a%20b')

Encoding dan decoding Hex

• hex_encode

  Item	Type	Description
  Parameter	string	String biner yang akan di-encode.
  Return value	string	String yang di-encode hex dalam huruf kapital.

• hex_decode

  Item	Type	Description
  Parameter	string	String hex yang akan didecode.
  Return value	string	String mentah yang telah didecode. Mengembalikan string kosong "" jika input tidak valid.

-- DEADBEEF --
local data1 = aliwaf.util.hex_encode(string.char(0xDE, 0xAD, 0xBE, 0xEF))

-- \xDE\xAD\xBE\xEF --
local data2 = aliwaf.util.hex_decode('DEADBEEF')

Encoding dan decoding Base64

• base64_encode

  Item	Type	Description
  Parameter	string	String mentah yang akan di-encode.
  Return value	string	String yang di-encode Base64.

• base64_decode

  Item	Type	Description
  Parameter	string	String Base64 yang akan didecode.
  Return value	string	String mentah yang telah didecode. Mengembalikan string kosong "" jika input tidak valid.

-- aGVsbG8= --
local data1 = aliwaf.util.base64_encode('hello')

-- hello --
local data2 = aliwaf.util.base64_decode('aGVsbG8=')

MD5/CRC/SHA

• md5

  Item	Type	Description
  Parameter	string	String mentah yang akan di-hash.
  Return value	string	Digest MD5 dalam format hex 32 karakter huruf kecil.

• sha256

  Item	Type	Description
  Parameter	string	String mentah yang akan di-hash.
  Return value	string	Digest SHA-256 dalam format hex 64 karakter huruf kecil.

• crc32

  Item	Type	Description
  Parameter	string	String mentah yang akan dihitung.
  Return value	integer	Checksum CRC32 (bilangan bulat tak bertanda 32-bit).

-- 5d41402abc4b2a76b9719d911017c592 --
local md5 = aliwaf.util.md5('hello')

-- 2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824 --
local sha = aliwaf.util.sha256('hello')

-- 3287646509 --
local crc = aliwaf.util.crc32('hello')

Enkripsi dan dekripsi (AES/DES)

local data1 = aliwaf.util.evp_encrypt('aes-128-cbc', 'key-12345678-key', 'iv-1234567890-iv', 'hello')

local data2 = aliwaf.util.evp_decrypt('aes-128-cbc', 'key-12345678-key', 'iv-1234567890-iv', data1)

Penandatanganan dan verifikasi (ES256)

local sign = aliwaf.util.es256_sign('private_key-1234', 'hello')

local result = aliwaf.util.es256_verify('public_key-12345', 'hello', sign)

Waktu

-- Stempel waktu tingkat milidetik saat ini (integer) --
local timestamp = aliwaf.util.get_current_ms()

Fungsi pembantu bisnis

Fungsi pembantu bisnis mengkoordinasikan antara skrip Lua dan framework WAF.

Action

-- Lakukan aksi pada permintaan saat ini berdasarkan aksi yang telah dipilih sebelumnya --
aliwaf.func.punish()