Black Hat USA 2001 - New Tools at rfp.labs
三句話摘要
RFP 展示 Web 安全測試工具生態系統的設計願景，包括 HTTP 代理、漏洞庫和掃描框架。 建立分層且專注於 Web 的工具生態系統（函式庫層、代理層、掃描器層、威脅情報層），透過社區驅動的開放基礎設施分散維護負擔，是應對 HTTP 無狀態設計缺陷和市場工具碎片化的根本解決方案。 HTTP 無狀態的設計缺陷：購物車、會話管理必須透過 Cookie、隱藏表單、URL 重寫等非標準機制實現，導致各家伺服器和開發團隊各自為政，產生大量自訂程式碼漏洞，而開發者多半不懂安全編碼實踐。
重點整理
重點- 1
HTTP 無狀態的設計缺陷：購物車、會話管理必須透過 Cookie、隱藏表單、URL 重寫等非標準機制實現，導致各家伺服器和開發團隊各自為政，產生大量自訂程式碼漏洞，而開發者多半不懂安全編碼實踐。
- 2
CGI 掃描 vs 漏洞檢測的本質區別：CGI 掃描器只問「檔案存在否」（HTTP 404 檢查），但 Unicode、目錄索引權限、緩衝區溢出等漏洞需要理解回應內容、伺服器行為差異，無法用簡單規則庫通用掃描，必須專注於 Web 的工具體系。
- 3
代理作為漏洞測試樞紐：RF Proxy 位於使用者和伺服器之間，能攔截並重寫 HTML（移除 JavaScript 限制、隱藏表單欄位）、記錄會話狀態變化、自動化複雜操作流程，是互動式應用程式安全測試的關鍵。
- 4
函式庫抽象底層複雜性：LibWhisker 封裝 HTTP 1.0/1.1、Keep-Alive、SSL、SOCKS 代理、虛擬主機、NTLM/MD5 認證等細節，讓漏洞程式設計師只需關注攻擊邏輯而非傳輸層，同時允許「打破規則」（跳過標頭、使用非標準請求格式）以應對非標準伺服器。
實用技巧與重點
乾貨- 工具版本與發布計畫：
- RF Proxy PR1（2001年3月在 CanSec West 發布）
- LibWhisker PR3（2001年6月在 Black Hat Asia 新加坡發布）
- 目標：2001年7月31日前發布 LibWhisker 1.0 正式版和 Whisker 2.0
- LibWhisker 核心功能：
- HTTP 0.9/1.0/1.1 支援、Keep-Alive 連線重複使用
- SOCKS 代理、虛擬主機支援、跨平台超時處理
- 原生 SSL（CryptSSL/Net::SSLA）支援
- HTML 標籤解析器（Perl 版本約 15 行、C 加速版本快 4 倍）
- Unicode 編碼（支援任意長度、隨機多位元組表示）
- NTLM/MD5 摘要認證、暴力破解支援
- WebDAV、FrontPage 客戶端模擬、HTTP 100 Continue 回應處理
- Whisker 2.0 計畫功能：
- 網站爬蟲：自動發現自訂 CGI 目錄、應用程式位置、參數名稱
- 資料庫儲存：掃描結果追蹤、多主機比較、避免重複檢測
- 整合 CVE 連結、IDS 規則、漏洞描述和利用方法的詳細報告
- Weaver（W3 漏洞倉庫）：
- 追蹤約 3000 個 CGI 和 Web 伺服器漏洞
- 自訂掃描資料庫產生（可選擇特定平台如 NT、Unix）
- 自動產生 Whisker 規則、Nessus 外掛、Snort 簽章
- 網址：www.worldwidewebvulnerabilityrepository
- VulWatch：
- 網址：vulwatch.org
- 社區運作、無資金支持、多時區版主、快速發佈
- 只發佈漏洞公告和利用程式公告，不含補丁通知
- 於 2001 年 7 月上線
- 開發郵件列表：
- SourceForge 上註冊 LibWhisker、RF Proxy 開發列表
結論
結論“建立分層且專注於 Web 的工具生態系統（函式庫層、代理層、掃描器層、威脅情報層），透過社區驅動的開放基礎設施分散維護負擔，是應對 HTTP 無狀態設計缺陷和市場工具碎片化的根本解決方案。”
完整解析
詳細RFP 在演講中深入分析了 Web 應用程式安全工具的市場困境。問題的根源在於 HTTP 協定本身的設計：作為無狀態協定，HTTP 無法原生維持使用者會話，導致開發者必須透過 Cookie、隱藏表單欄位、URL 重寫等各種非標準機制來實現購物車和會話管理。結果是市面上充斥著數以千計的自訂程式碼實現，而其中超過 99% 的開發者並不懂安全編碼實踐，造成大量漏洞。
現有的商業和開源 CGI 掃描器（如 Whisker 1.x、ISS CyberCop、Nessus）都存在根本性限制。它們主要運作方式是問「伺服器，檔案 X 存在嗎？」，透過 HTTP 404 狀態碼判斷。但這套邏輯無法應對漏洞檢測的真正複雜性：Unicode 編碼繞過需要理解百分號編碼、雙重編碼等變體；目錄索引權限需要解析 HTML 內容判斷是否為真正索引頁面；緩衝區溢出則根本無法透過簡單的 HTTP 請求檢測。此外，每個 Web 伺服器（Apache、IIS、NCSA 等）的 RFC 實現方式都不同——NCSA 會在請求不存在的目錄時報告「目錄不存在」，這直接破壞了掃描器的智慧邏輯。商業掃描器試圖一次性涵蓋 RPC、DNS、FTP、Web 等所有領域，導致每個領域都得不到充分關注。
因此 RFP 提出了整合工具生態系統的願景。首先是 LibWhisker 函式庫，這是 Perl 模組，統一封裝所有 HTTP 和 Web 相關的底層複雜性：HTTP 版本協商、Keep-Alive 連線重複使用、多主機並發連線、SSL 加密、SOCKS 代理支援、虛擬主機識別、NTLM/MD5 認證、HTML 解析、Unicode 編碼變體產生。函式庫的設計哲學是「完全無規則」——允許漏洞程式碼產生畸形的 HTTP 請求、跳過標頭、使用非標準語法，以應對那些不符合標準的伺服器。同時，核心功能無需外部依賴，即使沒有 Socket 支援，也能透過 API 報告限制而非完全失敗。為了解決 Perl 效能問題，LibWhisker 還包含可選的 C 語言加速模組（LWbin），使 HTML 解析速度快 4 倍。
RF Proxy 則是應用層工具，位於使用者瀏覽器和伺服器之間，扮演「中介人」角色。它能攔截所有 HTTP 流量、重寫 HTML（移除 JavaScript 限制、刪除隱藏表單欄位、改變輸入限制）、記錄並分析會話狀態變化、自動重播請求、生成隨機會話 ID 測試會話產生器的品質。這對於測試複雜的互動式 Web 應用程式至關重要，因為自動化工具無法理解複雜的多步驟表單或業務邏輯。
最後是社區基礎設施層：Weaver 漏洞庫網站追蹤全球 Web 漏洞資料庫，允許使用者訂製掃描資料庫（例如只掃描 Windows 漏洞），自動為 Whisker、Nessus、Snort 等工具產生相應規則。VulWatch 則是社區擁有的漏洞公告列表，由多時區版主快速發佈，避免了傳統列表中的補丁轟炸問題。這兩個設施共同分散了更新負擔，使得任何工具都能保持最新狀態。
Whisker 2.0 將整合所有這些能力，加入網站爬蟲自動發現自訂 CGI 位置和參數、資料庫儲存掃描結果用於趨勢分析、詳細的技術和管理層報告產生。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
