Web Application Firewall:Extensões

Exemplo de requisição HTTP

POST /api/v1/orders?source=web&campaign=spring2024 HTTP/1.1
Host: shop.example.com
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7)
Cookie: session_id=abc123xyz; user_prefs=lang%3Den%26theme%3Ddark
Content-Type: application/json
Content-Length: 68
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.xxxxx
Accept: application/json

eyJwcm9kdWN0X2lkIjogNzg5LCAicXVhbnRpdHkiOiAyLCAidXJnZW50IjogdHJ1ZX0=

Ler dados da requisição

Todas as interfaces retornam uma string. Caso um campo não exista, o sistema retorna uma string vazia.

Ler o método

-- POST --
local method = aliwaf.req.get_method()

Ler o URI

-- /api/v1/orders --
local uri = aliwaf.req.get_uri()

Ler o domínio

-- shop.example.com --
local domain = aliwaf.req.get_domain()

Ler a query

-- source=web&campaign=spring2024 --
local query = aliwaf.req.get_query()

Ler um parâmetro de query

-- web --
local source = aliwaf.req.get_arg('source')

Ler um cookie

-- abc123xyz --
local session_id = aliwaf.req.get_cookie('session_id')

Ler um cabeçalho

-- Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.xxxxx --
local auth = aliwaf.req.get_header('Authorization')

Ler o corpo

Verificar o status do corpo da requisição

• Se o corpo foi totalmente recebido

  Item	Tipo	Descrição
  Parâmetro	-	-
  Valor de retorno	boolean	true indica que o corpo da requisição foi totalmente recebido. false indica que ainda há dados pendentes.

  local last = aliwaf.func.is_last_fragment_arrived()

• Se o corpo foi truncado

  Item	Tipo	Descrição
  Parâmetro	-	-
  Valor de retorno	boolean	true indica que o corpo da requisição excedeu o limite e foi truncado. false indica que o corpo da requisição está intacto. Por padrão, o WAF armazena até 128 KB do corpo da requisição. Requisições que ultrapassarem esse limite serão truncadas (a parte excedente é descartada).

  local discard = aliwaf.func.is_request_body_discarded()

Aguardar o corpo

Os corpos de requisição chegam ao WAF em streaming, portanto, o corpo pode não estar totalmente recebido quando o script for executado. Para processar o corpo completo, notifique explicitamente o framework para aguardar o recebimento integral antes de reexecutar o script.

aliwaf.func.wait_request_body()

Exemplo: Ler o corpo da requisição

-- Body not fully received; wait for it --
if not aliwaf.func.is_last_fragment_arrived() then
  aliwaf.func.wait_request_body()
  return
end

-- Body fully received; check if truncated --
if aliwaf.func.is_request_body_discarded() then
  return
end

-- eyJwcm9kdWN0X2lkIjogNzg5LCAicXVhbnRpdHkiOiAyLCAidXJnZW50IjogdHJ1ZX0= --
local body = aliwaf.req.get_body()

-- TODO: Apply business logic to the complete body --

Funções utilitárias comuns

Codificação e decodificação básicas

As interfaces de codificação e decodificação URL, hex e base64 aceitam um parâmetro string e retornam uma string processada. Em caso de falha, retornam uma string vazia.

Codificação e decodificação URL

• escape_uri

  Item	Tipo	Descrição
  Parâmetro	string	A string original a ser codificada.
  Valor de retorno	string	A string codificada.

• unescape_uri

  Item	Tipo	Descrição
  Parâmetro	string	A string codificada em URL a ser decodificada.
  Valor de retorno	string	A string original decodificada.

-- a%20b --
local data1 = aliwaf.util.escape_uri('a b')

-- a b --
local data2 = aliwaf.util.unescape_uri('a%20b')

Codificação e decodificação Hex

• hex_encode

  Item	Tipo	Descrição
  Parâmetro	string	A string binária a ser codificada.
  Valor de retorno	string	A string codificada em hexadecimal maiúsculo.

• hex_decode

  Item	Tipo	Descrição
  Parâmetro	string	A string hexadecimal a ser decodificada.
  Valor de retorno	string	A string original decodificada. Retorna uma string vazia "" se a entrada for inválida.

-- DEADBEEF --
local data1 = aliwaf.util.hex_encode(string.char(0xDE, 0xAD, 0xBE, 0xEF))

-- \xDE\xAD\xBE\xEF --
local data2 = aliwaf.util.hex_decode('DEADBEEF')

Codificação e decodificação Base64

• base64_encode

  Item	Tipo	Descrição
  Parâmetro	string	A string original a ser codificada.
  Valor de retorno	string	A string codificada em Base64.

• base64_decode

  Item	Tipo	Descrição
  Parâmetro	string	A string Base64 a ser decodificada.
  Valor de retorno	string	A string original decodificada. Retorna uma string vazia "" se a entrada for inválida.

-- aGVsbG8= --
local data1 = aliwaf.util.base64_encode('hello')

-- hello --
local data2 = aliwaf.util.base64_decode('aGVsbG8=')

MD5/CRC/SHA

• md5

  Item	Tipo	Descrição
  Parâmetro	string	A string original para gerar o hash.
  Valor de retorno	string	O resumo MD5 em formato hexadecimal minúsculo de 32 caracteres.

• sha256

  Item	Tipo	Descrição
  Parâmetro	string	A string original para gerar o hash.
  Valor de retorno	string	O resumo SHA-256 em formato hexadecimal minúsculo de 64 caracteres.

• crc32

  Item	Tipo	Descrição
  Parâmetro	string	A string original para cálculo.
  Valor de retorno	integer	O checksum CRC32 (inteiro de 32 bits sem sinal).

-- 5d41402abc4b2a76b9719d911017c592 --
local md5 = aliwaf.util.md5('hello')

-- 2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824 --
local sha = aliwaf.util.sha256('hello')

-- 3287646509 --
local crc = aliwaf.util.crc32('hello')

Criptografia e descriptografia (AES/DES)

local data1 = aliwaf.util.evp_encrypt('aes-128-cbc', 'key-12345678-key', 'iv-1234567890-iv', 'hello')

local data2 = aliwaf.util.evp_decrypt('aes-128-cbc', 'key-12345678-key', 'iv-1234567890-iv', data1)

Assinatura e verificação (ES256)

local sign = aliwaf.util.es256_sign('private_key-1234', 'hello')

local result = aliwaf.util.es256_verify('public_key-12345', 'hello', sign)

Tempo

-- Current millisecond-level timestamp (integer) --
local timestamp = aliwaf.util.get_current_ms()

Funções auxiliares de negócio

As funções auxiliares de negócio coordenam a interação entre os scripts Lua e o framework do WAF.

Ação

-- Take action on the current request based on the pre-selected action --
aliwaf.func.punish()