Zum Inhalt springen
Produkte
Plattform
Developer Tools
Portal

Edge-Regeln

Diese Seite listet die Edge-Regeln auf, die in der Web Application Firewall (WAF) des STACKIT Content Delivery Network (CDN) implementiert sind.

Regel-Sammlung – OWASP CRS-Anfrage

Abschnitt betitelt „Regel-Sammlung – OWASP CRS-Anfrage“

Regelgruppe: 911 – Methodenerzwingung

Abschnitt betitelt „Regelgruppe: 911 – Methodenerzwingung“
CodeRegel
911100Methode ist durch Richtlinie nicht erlaubt

Regelgruppe: 913 – Scanner-Erkennung

Abschnitt betitelt „Regelgruppe: 913 – Scanner-Erkennung“

Diese Regeln konzentrieren sich auf die Erkennung von Sicherheits-Tools und -Scannern.

CodeRegel
913100Benutzeragent, der einem Sicherheits-Scanner zugeordnet ist, gefunden

Regelgruppe: 922 – Multipart-Angriff

Abschnitt betitelt „Regelgruppe: 922 – Multipart-Angriff“
CodeRegel
922100Globale „charset“-Definition des Multipart-Content-Type ist durch Richtlinie nicht erlaubt
922110Ungültiger MIME-Multipart-Header content-type: charset-Parameter
922120Content-Transfer-Encoding wurde von RFC 7578 im Jahr 2015 als veraltet deklariert und sollte nicht verwendet werden

Regelgruppe: 921 – Protokoll-Angriff

Abschnitt betitelt „Regelgruppe: 921 – Protokoll-Angriff“

Die Regeln in dieser Tabelle zielen auf spezifische Angriffe auf das HTTP-Protokoll ab, wie HTTP Request Smuggling und Response Splitting.

CodeRegel
921110HTTP Request Smuggling-Angriff
921120HTTP Response Splitting-Angriff
921130HTTP Response Splitting-Angriff
921140HTTP Header Injection-Angriff über Header
921150HTTP Header Injection-Angriff über Payload (CR/LF erkannt)
921160HTTP Header Injection-Angriff über Payload (CR/LF und Header-Name erkannt)
921190HTTP Splitting (CR/LF in Anforderungs-Dateinamen erkannt)
921200LDAP Injection-Angriff
921421Content-Type-Header: Gefährlicher Content-Type außerhalb der MIME-Typ-Deklaration
921240mod_proxy-Angriffsversuch erkannt
921151HTTP Header Injection-Angriff über Payload (CR/LF erkannt)
921422Content-Type-Header: Gefährlicher Content-Type außerhalb der MIME-Typ-Deklaration
921230HTTP Range-Header erkannt
921180HTTP Parameter Pollution ( %{TX.1} )
921210HTTP Parameter Pollution nach Erkennung eines fehlerhaften Zeichens nach Parameter-Array
921220HTTP Parameter Pollution möglicherweise über Array-Notation

Regelgruppe: 930 – Anwendungs-Angriff LFI

Abschnitt betitelt „Regelgruppe: 930 – Anwendungs-Angriff LFI“

Diese Regeln erkennen Versuche, Dateien einzubinden, die sich lokal auf dem Webserver befinden und für Benutzer nicht zugänglich sein sollten. Die Ausnutzung dieser Art von Angriff kann die Webanwendung oder den Server kompromittieren.

CodeRegel
930100Path Traversal-Angriff (/../) oder (/…/)
930110Path Traversal-Angriff (/../) oder (/…/)
930120Versuch des OS-Dateizugriffs
930130Versuch des eingeschränkten Dateizugriffs
930121Versuch des OS-Dateizugriffs in REQUEST_HEADERS

Regelgruppe: 931 – Anwendungs-Angriff RFI

Abschnitt betitelt „Regelgruppe: 931 – Anwendungs-Angriff RFI“

Diese Regeln erkennen Versuche, Remote-Ressourcen in die Webanwendung einzubinden, die ausgeführt werden können. Die Ausnutzung dieser Art von Angriff kann die Webanwendung oder den Server kompromittieren.

CodeRegel
931100Möglicher Remote File Inclusion (RFI)-Angriff: URL-Parameter unter Verwendung einer IP-Adresse
931110Möglicher Remote File Inclusion (RFI)-Angriff: Name eines anfälligen RFI-Parameters mit URL-Payload verwendet
931120Möglicher Remote File Inclusion (RFI)-Angriff: URL-Payload mit nachfolgendem Fragezeichen-Zeichen verwendet
931130Möglicher Remote File Inclusion (RFI)-Angriff: Off-Domain-Referenz/Link
931131Möglicher Remote File Inclusion (RFI)-Angriff: Off-Domain-Referenz/Link

Regelgruppe: 932 – Anwendungs-Angriff RCE

Abschnitt betitelt „Regelgruppe: 932 – Anwendungs-Angriff RCE“
CodeRegel
932230Remote Command Execution: Unix-Befehlsinjektion (2-3 Zeichen)
932235Remote Command Execution: Unix-Befehlsinjektion (Befehl ohne Umgehung)
932120Remote Command Execution: Windows PowerShell-Befehl gefunden
932125Remote Command Execution: Windows PowerShell-Alias-Befehlsinjektion
932130Remote Command Execution: Unix-Shell-Ausdruck gefunden
932140Remote Command Execution: Windows FOR/IF-Befehl gefunden
932250Remote Command Execution: Direkte Unix-Befehlsausführung
932260Remote Command Execution: Direkte Unix-Befehlsausführung
932330Remote Command Execution: Unix-Shell-Verlaufsaufruf
932160Remote Command Execution: Unix-Shell-Code gefunden
932170Remote Command Execution: Shellshock (CVE-2014-6271)
932171Remote Command Execution: Shellshock (CVE-2014-6271)
932175Remote Command Execution: Unix-Shell-Alias-Aufruf
932180Versuch des eingeschränkten Datei-Uploads
932370Remote Command Execution: Windows-Befehlsinjektion
932380Remote Command Execution: Windows-Befehlsinjektion
932231Remote Command Execution: Unix-Befehlsinjektion
932131Remote Command Execution: Unix-Shell-Ausdruck gefunden
932200RCE-Umgehungstechnik
932205RCE-Umgehungstechnik
932206RCE-Umgehungstechnik
932220Remote Command Execution: Unix-Befehlsinjektion mit Pipe
932240Remote Command Execution: Unix-Befehlsinjektions-Umgehungsversuch erkannt
932210Remote Command Execution: SQLite-Systembefehlsausführung
932300Remote Command Execution: SMTP-Befehlsausführung
932310Remote Command Execution: IMAP-Befehlsausführung
932320Remote Command Execution: POP3-Befehlsausführung
932236Remote Command Execution: Unix-Befehlsinjektion (Befehl ohne Umgehung)
932239Remote Command Execution: Unix-Befehlsinjektion im Benutzeragenten- oder Referer-Header gefunden
932161Remote Command Execution: Unix-Shell-Code in REQUEST_HEADERS gefunden
932232Remote Command Execution: Unix-Befehlsinjektion
932237Remote Command Execution: Unix-Shell-Code in REQUEST_HEADERS gefunden
932238Remote Command Execution: Unix-Shell-Code in REQUEST_HEADERS gefunden
932190Remote Command Execution: Wildcard-Umgehungstechnik-Versuch
932301Remote Command Execution: SMTP-Befehlsausführung
932311Remote Command Execution: IMAP-Befehlsausführung
932321Remote Command Execution: POP3-Befehlsausführung
932331Remote Command Execution: Unix-Shell-Verlaufsaufruf

Regelgruppe: 933 – Anwendungs-Angriff PHP

Abschnitt betitelt „Regelgruppe: 933 – Anwendungs-Angriff PHP“
CodeRegel
933100PHP Injection-Angriff: PHP-Öffnungstag gefunden
933110PHP Injection-Angriff: PHP-Skript-Datei-Upload gefunden
933120PHP Injection-Angriff: Konfigurations-Direktive gefunden
933130PHP Injection-Angriff: Variablen gefunden
933140PHP Injection-Angriff: I/O-Stream gefunden
933200PHP Injection-Angriff: Wrapper-Schema erkannt
933150PHP Injection-Angriff: Name einer risikoreichen PHP-Funktion gefunden
933160PHP Injection-Angriff: Aufruf einer risikoreichen PHP-Funktion gefunden
933170PHP Injection-Angriff: Serialized Object Injection
933180PHP Injection-Angriff: Variabler Funktionsaufruf gefunden
933210PHP Injection-Angriff: Variabler Funktionsaufruf gefunden
933151PHP Injection-Angriff: Name einer mittlere-Risiko-PHP-Funktion gefunden
933131PHP Injection-Angriff: Variablen gefunden
933161PHP Injection-Angriff: Aufruf einer niedrig-bewerteten PHP-Funktion gefunden
933111PHP Injection-Angriff: PHP-Skript-Datei-Upload gefunden
933190PHP Injection-Angriff: PHP-Schließtag gefunden
933211PHP Injection-Angriff: Variabler Funktionsaufruf gefunden

Regelgruppe: 934 – Anwendungs-Angriff GENERIC

Abschnitt betitelt „Regelgruppe: 934 – Anwendungs-Angriff GENERIC“
CodeRegel
934100Node.js Injection-Angriff 1/2
934110Möglicher Server Side Request Forgery (SSRF)-Angriff: Cloud-Anbieter-Metadaten-URL im Parameter
934130JavaScript Prototype Pollution
934150Ruby Injection-Angriff
934160Node.js DoS-Angriff
934170PHP-Daten-Schema-Angriff
934101Node.js Injection-Angriff 2/2
934120Möglicher Server Side Request Forgery (SSRF)-Angriff: URL-Parameter unter Verwendung einer IP-Adresse
934140Perl Injection-Angriff
934100Node.js Injection-Angriff

Regelgruppe: 941 – Anwendungs-Angriff XSS

Abschnitt betitelt „Regelgruppe: 941 – Anwendungs-Angriff XSS“
CodeRegel
941100XSS-Angriff durch libinjection erkannt
941110XSS-Filter – Kategorie 1: Skript-Tag-Vektor
941130XSS-Filter – Kategorie 3: Attribut-Vektor
941140XSS-Filter – Kategorie 4: Javascript-URI-Vektor
941160NoScript XSS InjectionChecker: HTML Injection
941170NoScript XSS InjectionChecker: Attribute Injection
941180Node-Validator Deny List-Schlüsselwörter
941190IE XSS-Filter – Angriff erkannt
941200IE XSS-Filter – Angriff erkannt
941210IE XSS-Filter – Angriff erkannt
941220IE XSS-Filter – Angriff erkannt
941230IE XSS-Filter – Angriff erkannt
941240IE XSS-Filter – Angriff erkannt
941250IE XSS-Filter – Angriff erkannt
941260IE XSS-Filter – Angriff erkannt
941270IE XSS-Filter – Angriff erkannt
941280IE XSS-Filter – Angriff erkannt
941290IE XSS-Filter – Angriff erkannt
941300IE XSS-Filter – Angriff erkannt
941310US-ASCII Malformed Encoding XSS-Filter – Angriff erkannt
941350UTF-7 Encoding IE XSS – Angriff erkannt
941360JSFuck / Hieroglyphy-Verschleierung erkannt
941370JavaScript-Global-Variable gefunden
941390Javascript-Methode erkannt
941400XSS-JavaScript-Funktion ohne Klammern
941101XSS-Angriff durch libinjection erkannt
941120XSS-Filter – Kategorie 2: Event Handler-Vektor
941150XSS-Filter – Kategorie 5: Nicht erlaubte HTML-Attribute
941181Node-Validator Deny List-Schlüsselwörter
941320Möglicher XSS-Angriff erkannt – HTML-Tag-Handler
941330IE XSS-Filter – Angriff erkannt
941340IE XSS-Filter – Angriff erkannt
941380AngularJS Client-Side-Template-Injection erkannt

Regelgruppe: 942 – Anwendungs-Angriff SQL-Injektion

Abschnitt betitelt „Regelgruppe: 942 – Anwendungs-Angriff SQL-Injektion“

Diese Tabelle listet Regeln auf, die vor SQL-Injektion (SQLi)-Angriffen schützen. SQL-Injektion tritt auf, wenn ein Angreifer speziell gestaltete Steuerzeichen an Parameter sendet, die nur für Daten vorgesehen sind. Die Anwendung gibt diese Zeichen dann an die Datenbank weiter, was die beabsichtigte Bedeutung der SQL-Abfrage ändern kann.

CodeRegel
942100SQL Injection-Angriff durch libinjection erkannt
942140SQL Injection-Angriff: Gängige DB-Namen erkannt
942151SQL Injection-Angriff: SQL-Funktionsname erkannt
942160Erkennt Blind-SQLi-Tests unter Verwendung von sleep() oder benchmark()
942170Erkennt SQL-Benchmark- und Sleep-Injection-Versuche, einschließlich bedingter Abfragen
942190Erkennt MSSQL-Code-Ausführungs- und Informationssammlungsversuche
942220Sucht nach Integer-Overflow-Angriffen, diese stammen aus Skipfish, außer 2.2.2250738585072011e-308 ist die „Magic Number“-Absturzursache
942230Erkennt bedingte SQL-Injection-Versuche
942240Erkennt MySQL-Charset-Switch- und MSSQL DoS-Versuche
942250Erkennt MATCH AGAINST-, MERGE- und EXECUTE IMMEDIATE-Injektionen
942270Sucht nach einfacher SQL-Injektion. Gängige Angriffs-Zeichenfolge für MySQL, Oracle und andere
942280Erkennt Postgres pg_sleep-Injektion, Waitfor-Delay-Angriffe und Datenbank-Shutdown-Versuche
942290Findet einfache MongoDB SQL-Injection-Versuche
942320Erkennt MySQL- und PostgreSQL-Stored-Procedure/Funktions-Injektionen
942350Erkennt MySQL UDF-Injektion und andere Daten-/Struktur-Manipulationsversuche
942360Erkennt verkettete einfache SQL-Injektionen und SQLLFI-Versuche
942500MySQL Inline-Kommentar erkannt
942540SQL-Authentifizierungs-Bypass (geteilte Abfrage)
942560MySQL Scientific Notation-Payload erkannt
942550JSON-basierte SQL-Injektion
942120SQL Injection-Angriff: SQL-Operator erkannt
942130SQL Injection-Angriff: SQL Boolean-basierter Angriff erkannt
942131SQL Injection-Angriff: SQL Boolean-basierter Angriff erkannt
942150SQL Injection-Angriff: SQL-Funktionsname erkannt
942180Erkennt einfache SQL-Authentifizierungs-Bypass-Versuche 1/3
942200Erkennt MySQL-Kommentar-/Leerzeichen-verschleierte Injektionen und Backtick-Terminierung
942210Erkennt verkettete SQL-Injection-Versuche 1/2
942260Erkennt einfache SQL-Authentifizierungs-Bypass-Versuche 2/3
942300Erkennt MySQL-Kommentare, Bedingungen und ch(a)r-Injektionen
942310Erkennt verkettete SQL-Injection-Versuche 2/2
942330Erkennt klassische SQL-Injection-Sondierungen 1/3
942340Erkennt einfache SQL-Authentifizierungs-Bypass-Versuche 3/3
942361Erkennt einfache SQL-Injektion basierend auf den Schlüsselwörtern ALTER oder UNION
942362Erkennt verkettete einfache SQL-Injektionen und SQLLFI-Versuche
942370Erkennt klassische SQL-Injection-Sondierungen 2/3
942380SQL Injection-Angriff
942390SQL Injection-Angriff
942400SQL Injection-Angriff
942410SQL Injection-Angriff
942470SQL Injection-Angriff
942480SQL Injection-Angriff
942430Restricted SQL Character Anomaly Detection (args): Anzahl der Sonderzeichen überschritten (12)
942440SQL-Kommentar-Sequenz erkannt
942450SQL-Hex-Kodierung identifiziert
942510SQLi-Bypass-Versuch durch Ticks oder Backticks erkannt
942520Erkennt einfache SQL-Authentifizierungs-Bypass-Versuche 4.0/4
942521Erkennt einfache SQL-Authentifizierungs-Bypass-Versuche 4.1/4
942522Erkennt einfache SQL-Authentifizierungs-Bypass-Versuche 4.1/4
942101SQL Injection-Angriff durch libinjection erkannt
942152SQL Injection-Angriff: SQL-Funktionsname erkannt
942321Erkennt MySQL- und PostgreSQL-Stored-Procedure/Funktions-Injektionen
942251Erkennt HAVING-Injektionen
942490Erkennt klassische SQL-Injection-Sondierungen 3/3
942420Restricted SQL Character Anomaly Detection (cookies): Anzahl der Sonderzeichen überschritten (8)
942431Restricted SQL Character Anomaly Detection (args): Anzahl der Sonderzeichen überschritten (6)
942460Meta-Character Anomaly Detection Alert – Wiederholte Nicht-Wort-Zeichen
942511SQLi-Bypass-Versuch durch Ticks erkannt
942530SQLi-Abfrage-Terminierung erkannt
942421Restricted SQL Character Anomaly Detection (cookies): Anzahl der Sonderzeichen überschritten (3)

Regelgruppe: 943 – Anwendungs-Angriff Session Fixation

Abschnitt betitelt „Regelgruppe: 943 – Anwendungs-Angriff Session Fixation“

Diese Regeln schützen vor Session Fixation-Angriffen.

CodeRegel
943100Möglicher Session Fixation-Angriff: Setzen von Cookie-Werten in HTML
943110Möglicher Session Fixation-Angriff: SessionID-Parametername mit Off-Domain-Referer
943120Möglicher Session Fixation-Angriff: SessionID-Parametername ohne Referer

Regelgruppe: 944 – Anwendungs-Angriff Java

Abschnitt betitelt „Regelgruppe: 944 – Anwendungs-Angriff Java“
CodeRegel
944100Remote Command Execution: Verdächtige Java-Klasse erkannt
944110Remote Command Execution: Java-Prozess-Spawn (CVE-2017-9805)
944120Remote Command Execution: Java-Serialisierung (CVE-2015-4852)
944130Verdächtige Java-Klasse erkannt
944140Java Injection-Angriff: Java-Skript-Datei-Upload gefunden
944150Mögliche Remote Command Execution: Log4j / Log4shell
944151Mögliche Remote Command Execution: Log4j / Log4shell
944200Magic Bytes erkannt, wahrscheinliche Java-Serialisierung in Verwendung
944210Base64-kodierte Magic Bytes erkannt, wahrscheinliche Java-Serialisierung in Verwendung
944240Remote Command Execution: Java-Serialisierung (CVE-2015-4852)
944250Remote Command Execution: Verdächtige Java-Methode erkannt
944260Remote Command Execution: Bösartiger Class-Loading-Payload
944300Base64-kodierte Zeichenfolge stimmt mit verdächtigem Schlüsselwort überein
944152Mögliche Remote Command Execution: Log4j / Log4shell

Regel-Sammlung – OWASP CRS-Antwort

Abschnitt betitelt „Regel-Sammlung – OWASP CRS-Antwort“

Regelgruppe: 950 – Datenlecks

Abschnitt betitelt „Regelgruppe: 950 – Datenlecks“

Diese Regeln schützen vor allgemeinen Datenlecks.

CodeRegel
950130Verzeichnis-Listing
950140CGI-Quellcode-Leck
950100Die Anwendung hat einen Status-Code der Stufe 500 zurückgegeben

Regelgruppe: 951 – Datenlecks SQL

Abschnitt betitelt „Regelgruppe: 951 – Datenlecks SQL“

Diese Regeln schützen vor Datenlecks von Backend-SQL-Servern, die oft auf das Vorhandensein von SQL-Injection-Schwachstellen hinweisen.

CodeRegel
951110Microsoft Access SQL-Informationsleck
951120Oracle SQL-Informationsleck
951130DB2 SQL-Informationsleck
951140EMC SQL-Informationsleck
951150Firebird SQL-Informationsleck
951160Frontbase SQL-Informationsleck
951170Hsqldb SQL-Informationsleck
951180Informix SQL-Informationsleck
951190Ingres SQL-Informationsleck
951200Interbase SQL-Informationsleck
951210MaxDB SQL-Informationsleck
951220Mssql SQL-Informationsleck
951230Mysql SQL-Informationsleck
951240Postgres SQL-Informationsleck
951250Sqlite SQL-Informationsleck
951260Sybase SQL-Informationsleck

Regelgruppe: 952 – Datenlecks Java

Abschnitt betitelt „Regelgruppe: 952 – Datenlecks Java“

Diese Regeln schützen vor Datenlecks, die durch Java verursacht werden.

CodeRegel
952100Java-Quellcode-Leck
952110Java-Fehler

Regelgruppe: 953 – Datenlecks PHP

Abschnitt betitelt „Regelgruppe: 953 – Datenlecks PHP“

Diese Regeln schützen vor Datenlecks, die durch PHP verursacht werden.

CodeRegel
953100PHP-Informationsleck
953110PHP-Quellcode-Leck
953120PHP-Quellcode-Leck
953101PHP-Informationsleck

Regelgruppe: 954 – Datenlecks IIS

Abschnitt betitelt „Regelgruppe: 954 – Datenlecks IIS“

Diese Regeln schützen vor Datenlecks, die durch Microsoft IIS verursacht werden.

CodeRegel
954100Offenlegung des IIS-Installationsorts
954110Anwendungs-Verfügbarkeits-Fehler
954120IIS-Informationsleck
954130IIS-Informationsleck

Regelgruppe: 955 – Web Shells

Abschnitt betitelt „Regelgruppe: 955 – Web Shells“
CodeRegel
955100Web Shell erkannt
955110r57 Web Shell
955120WSO Web Shell
955130b4tm4n Web Shell
955140Mini Shell Web Shell
955150Ashiyane Web Shell
955160Symlink_Sa Web Shell
955170CasuS Web Shell
955180GRP WebShell
955190NGHshell Web Shell
955200SimAttacker Web Shell
955210Unbekannte Web Shell
955220lama’s’hell Web Shell
955230lostDC Web Shell
955240Unbekannte Web Shell
955250Unbekannte Web Shell
955260Ru24PostWebShell Web Shell
955270s72 Shell Web Shell
955280PhpSpy Web Shell
955290g00nshell Web Shell
955300PuNkHoLic shell Web Shell
955310azrail Web Shell
955320SmEvK_PaThAn Shell Web Shell
955330Shell I Web Shell
955340b374k m1n1 Web Shell
955350webadmin.php Datei-Manager