PureWaf 1.2.0__tar.gz → 2.2.0__tar.gz

{purewaf-1.2.0 → purewaf-2.2.0}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.4
 Name: PureWaf
-Version: 1.2.0
+Version: 2.2.0
 Summary: WAF Bypass Payload Generator
 Author: Pure Stream
 License:                                  Apache License
@@ -210,8 +210,12 @@ Project-URL: Repository, https://github.com/PureStream108/PureWaf
 Requires-Python: >=3.8
 Description-Content-Type: text/markdown
 License-File: LICENSE
+Requires-Dist: python-dotenv<2,>=1.0
 Provides-Extra: webui
 Requires-Dist: flask<4,>=3.1; python_version >= "3.9" and extra == "webui"
+Provides-Extra: sast
+Requires-Dist: tree-sitter>=0.25; extra == "sast"
+Requires-Dist: tree-sitter-php>=0.24; extra == "sast"
 Dynamic: license-file
 
 # PureWaf
@@ -220,10 +224,24 @@ Dynamic: license-file
 
 ![](./image/1.png)
 
+![](./image/11.png)
+
 该项目仅用于教育和学习环节（比如说CTF），不得应用于其他任何恶意目的。
 
 如果该项目出现任何错误或您有任何建议，欢迎在 `issues` 中提出。
 
+一些参数的使用看这里：[Parameters](docs/parameters.md)
+
+关于 Agent 看这里：[Use With LLM](docs/LLM.md)
+
+使用 Agent 示例看这里：[Example](docs/Example.md)
+
+关于版本更新看这里：[CHANGELOG](./docs/AboutChange.md)
+
+## SKILL
+
+关于SKILL，如果你本地已经有了此工具，可以下载此 SKILL.md 让 LLM 调用 PureWaf，不需要单独开启 PureWaf 的 Agent 功能
+
 ## Foreword
 
 CTF中，你是否会因为被像这样：
@@ -274,68 +292,10 @@ system($cmd);
 pip install PureWaf
 
 from PureWaf import purewaf
-```
-
-如果你要启动前端界面，需要使用 Python 3.9 及以上，并额外安装 Flask：
 
-```bash
-pip install "flask>=3.1,<4"
+#purewaf(webui=True)
 ```
 
-## Parameters
-
-**waf_words**
-
-接收被过滤的字符串，格式为： `waf|star|system`，以 `|` 作为分割。
-
-**waf_chars**
-
-接收被过滤的字符，格式为：`#$%!`，不用分割。
-
-**waf_regex**
-
-接收正则表达式，格式为： `/flag|waf|system|\\|(|)/`，适用于字符串和字符混合的 waf，用 `/../` 包裹。
-
-**limit_length**
-
-默认为 999999 ，题目没有限制的情况下不用填写。
-
-**flagfile**
-
-题目Flag的文件命，默认为 `/flag`，正常情况下不用更改。
-
-**read_env**
-
-默认为 False（关闭），开启后就会输出读取环境变量的 payload，以应对 FLAG 放在环境变量的情况。
-
-**reflect_shell & port & ip**
-
-反弹shell功能开关，默认为 False（关闭），开启后输入 port 和 ip 两个参数就会自动输出反弹shell的 payload。
-
-**phpinfo**
-
-默认为 False（关闭），开启后会输出能读取 phpinfo 相关的 payload，建议配合 phpv 使用。
-
-**log_level**
-
-日志查看功能，默认为 "INFO"，也可以设置为 “DEBUG” 和 “QUIET”，对应不同等级的提示。
-
-**total_payload**
-
-默认为 False（关闭），开启后会输出全部 pass 的 payload（默认只输出）。
-
-**phpv**
-
-php版本，默认为7.0，针对不同php版本的题目环境，你可以自行设置 phpv，以便 PureWaf 将已经不适用的 payload 给剔除。
-
-**upload**
-
-默认为 False（关闭），开启后会生成由 `<?php` 等包裹后的 payload，适用于部分上传文件场景，可结合 phpv 使用
-
-**webui**
-
-默认为 False（关闭），`webui` 暂仅支持 Python 3.9 及以上
-
 ## Examples
 
 **第十届”楚慧杯“**
@@ -577,20 +537,13 @@ print(res.text)
 N/A
 ```
 
-## Limitations
-
-- 暂时无法实现自定义命令
-- 暂时没有内部检查payload是否可行机制
-- 暂时没有白名单选项
-- 暂时只适配 eval($a) 情形
-
-（我们将在未来计划消除这些限制，并同步更新至README）
-
 ## Contributing
 
 欢迎在 issues 中提供 PureWaf 无法解出的题目并附带对应的wp！
 
-供题者的 ID 将会出现在下一版本的 release中！
+欢迎在 issues 中提供 PureWaf 运行中出现的错误！
+
+作为回报，你们的 ID 将会出现在下一版本的 release 中！
 
 ## Thanks & References
 
@@ -602,6 +555,18 @@ N/A
 
 [CTF中的RCE绕过-腾讯云开发者社区-腾讯云](https://cloud.tencent.com/developer/article/2393421)
 
+[CTFshow-RCE极限大挑战 | 晴川's Blog🌈](https://blog.q1ngchuan.top/2023/10/01/CTFshow-RCE极限大挑战/index.html)
+
+[CTF中WEB题——RCE - tomyyyyy - 博客园](https://www.cnblogs.com/tomyyyyy/p/13905357.html)
+
+[exploit-bypass-php-escapeshellarg-escapeshellcmd](https://github.com/kacperszurek/exploits/blob/master/GitList/exploit-bypass-php-escapeshellarg-escapeshellcmd.md)
+
+[PHP escapeshellcmd/escapeshellarg security advisory](https://gist.github.com/Zenexer/40d02da5e07f151adeaeeaa11af9ab36)
+
+[Exploit PHP Remotely - WAF Rule & Filter Bypass](https://www.secjuice.com/php-rce-bypass-filters-sanitization-waf/)
+
+[异或、取反、或绕过 - SCU-CTF](https://wiki.scuctf.com/ctfwiki/web/3.rce/异或取反或绕过/)
+
 ## Star History
 
 [![Star History Chart](https://api.star-history.com/svg?repos=PureStream108/PureWaf&type=date&legend=top-left)](https://www.star-history.com/#PureStream108/PureWaf&type=date&legend=top-left)