mcpField
D
detecting-sql-injection-via-waf-logs

detecting-sql-injection-via-waf-logs

github.com/mukul975安全35.2k180 次安装8 周前更新
代码仓库

关于 detecting-sql-injection-via-waf-logs

面向 SOC 分析师的 WAF 日志 SQL 注入检测流程，提供日志解析、攻击分类、来源聚类和请求关联方法。

主要功能

  1. 01解析多种 WAF 日志格式
  2. 02使用正则模式检测 SQL 注入
  3. 03按 OWASP 注入类型分类
  4. 04按 IP 聚类识别持续攻击者
  5. 05关联多请求攻击并估算成功概率

适用场景

  1. 01调查 WAF 记录中的 SQL 注入事件
  2. 02构建注入攻击检测规则
  3. 03分析来自同一 IP 的攻击活动
  4. 04评估安全监控覆盖情况

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill detecting-sql-injection-via-waf-logs

安装后在 Claude Code 中输入/detecting-sql-injection-via-waf-logs确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

通过 WAF 日志检测 SQL 注入

何时使用

  • 在调查需要借助 WAF 日志检测 SQL 注入的安全事件时
  • 在为该领域构建检测规则或威胁狩猎查询时
  • 当 SOC 分析师需要针对此类分析的结构化流程时
  • 在验证相关攻击技术的安全监控覆盖范围时

前提条件

  • 熟悉安全运营概念和工具
  • 可访问用于安全执行的测试或实验环境
  • 已安装所需依赖的 Python 3.8+
  • 任何测试活动均具备适当授权

操作说明

  1. 安装依赖：pip install requests
  2. 收集 WAF 日志（ModSecurity 审计日志、AWS WAF JSON 日志或 Cloudflare 防火墙事件）。
  3. 运行 Agent 进行解析和分析：
    • 通过 15+ 正则表达式模式检测 SQLi 载荷
    • 按 OWASP 注入类型（经典、盲注、基于时间、基于 UNION）对攻击进行分类
    • 通过 IP 聚类识别持续攻击者
    • 关联多请求注入活动
    • 根据响应代码计算攻击成功概率
python scripts/agent.py --log-file /var/log/modsec_audit.log --format modsecurity --output sqli_report.json

示例

ModSecurity SQLi 检测
Rule 942100 triggered: SQL Injection Attack Detected via libinjection
URI: /api/users?id=1' UNION SELECT username,password FROM users--
Source IP: 203.0.113.42 (47 requests in 5 minutes)
Classification: UNION-based SQLi campaign

评论

支持 Markdown