web-attack-payloads

Корпус payload-ов веб-атак: SQLi · XSS · LFI/RFI · path traversal · command injection · SSTI · SSRF · XXE

--- Унифицированный корпус **payload-ов и HTTP-запросов веб-атак**, собранный из **13 проверенных источников** в единое хранилище PostgreSQL: строки инъекций, adversarial-варианты обхода WAF, реальный honeypot-трафик и легитимные запросы. Нормализованные типы атак, дедупликация с учётом пересечений, оценка доверия к каждому источнику. Для анализа веб-атак, разметки и детекторов вредоносного трафика. **13 источников**, ~3.8M уникальных payload-строк и ~2.0M HTTP-запросов, 16 типов атак. Пересечения payload-ов между источниками учтены один раз. ## Оглавление - [Хранение и доступ](#хранение-и-доступ) - [Содержание репозитория](#содержание-репозитория) - [Инвентаризация источников](#инвентаризация-источников) - [Схема данных](#схема-данных) - [Качество данных](#качество-данных) - [Верификация источников](#верификация-источников) - [Бизнес-ценность](#бизнес-ценность) - [Лицензия](#лицензия) ## Хранение и доступ Данные в PostgreSQL. Основной проект — база `web_attacks`, двухслойная схема (payload-строки + HTTP-запросы, связанные M:N): | Таблица | Назначение | |---|---| | `payloads` | уникальные payload-строки: нормализованный тип атаки, метка, кодировка | | `requests` | HTTP-запросы: method / uri / headers / body, метка правила, real vs synthetic | | `payload_request_link` | связь M:N — какой payload встречается в каком запросе | | `sources` | каталог источников: оценка доверия /22, лицензия, происхождение, охват атак | | `payload_sources` | связь M:N payload ↔ источник (payload из нескольких источников учтён один раз) | Подключение: `psql -h localhost -p 5433 -U -d web_attacks`. Загрузка — парсерами под каждый формат (YAML CRS/GoTestWAF, ModSecurity audit-log, JSON OpenAppSec, SQL WAF-A-MoLE, CSV honeypot, bare-string списки), дедуп по `sha256(payload)`. ## Содержание репозитория | Путь | Описание | |---|---| | `README.md` | этот файл | | `docs/DATA_QUALITY.md` | оценка качества данных (7 измерений) | | `docs/SOURCE_TRUST.md` | оценка доверия к источникам (11 измерений) | | `docs/EXAMPLES.md` | примеры реальных строк `payloads` и `requests` | | `docs/BUSINESS_CASES.md` | сценарии применения | | `samples/` | небольшие выборки реальных строк (CSV) | ## Инвентаризация источников **13 источников** · все строки размечены · 🟢 рейтинг доверия. Метка `mal/ben` — вредоносные payload-ы vs легитимные. «Строк в БД» — вклад после дедупликации. | № | Источник | Тип | Payload-строк | HTTP-запросов | Метка (mal/ben) | Типы атак | Лицензия | URL | Обновление | Оценка /22 | Рейтинг | |:-:|---|:--|--:|--:|:--|:--|:--|:--|:--|:-:|:--| | 1 | **ModSecurity CRS** | оба | 3 377 | 4 811 | mal | SQLi, XSS, LFI, RFI, RCE, PHP, Protocol | Apache-2.0 | [GitHub](https://github.com/coreruleset/coreruleset) | 2025 | 22 | 🟢 Доверять | | 2 | **mgm-web-attack-payloads** | payload | 37 071 | — | mal + ben | SQLi, XSS, Traversal, CmdExec, XXE, Log4Shell, Shellshock | Apache-2.0 | [GitHub](https://github.com/openappsec/mgm-web-attack-payloads) | 2024 | 21 | 🟢 Доверять | | 3 | **ModSecurity 30-day Production** | http | 16 635 | 41 891 | mal | SQLi, XSS, LFI, Scanner, WAF-evasion (реальный трафик) | CC-BY-4.0 | [Zenodo](https://zenodo.org/records/17178461) | 2025 | 21 | 🟢 Доверять | | 4 | **GoTestWAF (Wallarm)** | payload | 144 | — | mal | SQLi, XSS, RCE, SSTI, SSRF, XXE, NoSQL, API-инъекции | Apache-2.0 | [GitHub](https://github.com/wallarm/gotestwaf) | 2025 | 20 | 🟢 Доверять | | 5 | **SecLists / Fuzzing** | payload | 1 727 970 | — | mal | SQLi, XSS, LFI, LDAP, XXE, general fuzzing | MIT | [GitHub](https://github.com/danielmiessler/SecLists) | 2025 | 19 | 🟢 Доверять | | 6 | **WAF-A-MoLE Dataset** | payload | 1 652 694 | — | mal + ben | SQLi (adversarial обход WAF) + benign SQL | MIT | [GitHub](https://github.com/zangobot/wafamole_dataset) | 2020 | 19 | 🟢 Доверять | | 7 | **OpenAppSec WAF Comparison** | http | 68 033 | 1 114 166 | mal + ben | SQLi, XSS, Traversal + 1.04M легитимных запросов | Apache-2.0 | [GitHub](https://github.com/openappsec/waf-comparison-project) | 2024 | 19 | 🟢 Доверять | | 8 | **PayloadsAllTheThings** | payload | 6 764 | — | mal | SQLi, XSS, SSTI, SSRF, XXE, Traversal, CmdExec, Deser | MIT | [GitHub](https://github.com/swisskyrepo/PayloadsAllTheThings) | 2025 | 19 | 🟢 Доверять | | 9 | **Bo0oM/fuzz.txt** | payload | 5 366 | — | mal | Path Traversal, LFI, dangerous files | MIT | [GitHub](https://github.com/Bo0oM/fuzz.txt) | 2026 | 19 | 🟢 Доверять | | 10 | **fuzzdb / attack** | payload | 11 196 | — | mal | SQLi, XSS, OS-cmd, Traversal, LDAP, XPath, NoSQL | CC0/Apache/MIT | [GitHub](https://github.com/fuzzdb-project/fuzzdb) | 2024 | 18 | 🟢 Доверять | | 11 | **R0X4R/D4rkXSS** | payload | 10 289 | — | mal | XSS (коллекции brutelogic, mario, rsnake) | CC0 | [GitHub](https://github.com/R0X4R/D4rkXSS) | 2025 | 18 | 🟢 Доверять | | 12 | **Fastly WAF Efficacy** | payload | 23 | — | mal + ben | SQLi, XSS, LFI, CmdExec (TP/FP разметка) | Apache-2.0 | [GitHub](https://github.com/fastly/wafefficacy) | 2023–24 | 18 | 🟢 Доверять | | 13 | **SR-BH 2020 Honeypot** | http | 263 166 | 907 815 | mal + ben | SQLi, XSS, Traversal, Scanner, CmdExec (CAPEC, реальный honeypot) | не указана | [GitHub](https://github.com/skolpin/SR-BH-2020-web-attack-dataset) | 2020 | 17 | 🟡 С осторожностью | > В базе есть также источник **`payload-box`** (6 327 payload-строк, MIT), помеченный > `in_registry=false` — данные загружены, но из реестра исключён как избыточный > (перекрывается GoTestWAF/SecLists). В счёт 13 источников не входит. Корпус объединяет: строки инъекций из эталонных списков, adversarial-варианты обхода WAF (WAF-A-MoLE), реальный боевой HTTP-трафик (honeypot SR-BH, production ModSecurity), легитимные запросы для benign-баланса (OpenAppSec 1.04M) и payload-ы в HTTP-контексте с метками правил (CRS rule_id, CAPEC). ## Схема данных `payloads`: | Колонка | Тип | Описание | |---|---|---| | `payload_id` | text | PK — `sha256(payload)[:16]`, он же ключ дедупликации | | `payload` | text | строка атаки / легитимная строка | | `attack_type` | text | канон: `SQLi` · `XSS` · `Path Traversal` · `Command Injection` · `SSTI` · `SSRF` · `XXE` · `RFI` · `LDAP Injection` · `Log4Shell` · … | | `attack_subtype` | text | подтип (blind, auth-bypass, adversarial, rule_id …) | | `label` | text | `malicious` · `benign` | | `encoding` | text | `plain` · `url` · `html-entity` | | `has_http_context` | bool | связан ли с HTTP-запросом (см. `payload_request_link`) | | `sources` | text | `'|'`-склейка источников после дедупа | | `licenses` | text | `'|'`-склейка лицензий | `requests`: | Колонка | Тип | Описание | |---|---|---| | `request_id` | text | PK | | `method`, `uri`, `headers`, `body` | text | сырой HTTP-запрос | | `injection_point` | text | `url_param` · `body` · `header` · `path` | | `matched_rule_id` | text | CRS rule_id / CAPEC-метки / — | | `label` | text | `malicious` · `benign` | | `is_real_traffic` | text | `real` (honeypot/production/legit) · `synthetic` (тест-наборы) | | `source` | text | FK → `sources.data_label` | Связь `payload ↔ request` — таблица `payload_request_link`; связь `payload ↔ источник` — `payload_sources`. Примеры строк — в [EXAMPLES.md](docs/EXAMPLES.md). ## Качество данных Полный отчёт — [DATA_QUALITY.md](docs/DATA_QUALITY.md). По корпусу: **0 дублей ключа** (payload_id — PK), **0 NULL-меток**, **0 пустых** `payload`/`attack_type`, 0 orphan-связей. | Измерение | Статус | |---|---| | Полнота | ✅ метки 100%, payload 100%, attack_type 100% | | Валидность | ✅ канон типов атак + меток malicious/benign | | Уникальность | ✅ 0 дублей payload_id; пересечения источников учтены один раз | | Согласованность | ✅ единый словарь типов атак по всем источникам | | Целостность связей | ✅ 0 orphan в `payload_request_link` / `payload_sources` | ## Верификация источников Полная оценка — [SOURCE_TRUST.md](docs/SOURCE_TRUST.md): 12 из 13 источников — вердикт **«Доверять»** (18–22/22), один — «Использовать с осторожностью» (17/22, нет явной лицензии). | Аспект | Состояние | |---|---| | Происхождение | ✅ именованные производители (OWASP, Wallarm, Fastly, mgm, академ. honeypot) | | Целостность | ✅ HTTPS + воспроизводимость; git/Zenodo/DOI-снимки | | Лицензии | ✅ документированы (MIT/Apache/CC0/CC-BY); 1 источник без явной лицензии данных | | Безопасность | ✅ инертный текст; очистка NUL/битого Unicode при загрузке | | Качество данных | ✅ канон типов + 0 дублей ключа | ## Бизнес-ценность - **Анализ и разметка веб-атак** на едином корпусе: инъекции всех основных типов с нормализованными метками и оценкой доверия источника. - **Детекторы вредоносного трафика**: реальный honeypot/production HTTP (SR-BH, ModSecurity) + benign-баланс (OpenAppSec 1.04M легитимных запросов). - **Устойчивость к обходу**: adversarial-набор WAF-A-MoLE (SQLi-варианты обхода). - **Payload в контексте**: строки в связке с HTTP-запросом и меткой правила (CRS rule_id, CAPEC) — для оценки на уровне запроса, не только строки. Сценарии и запросы — в [BUSINESS_CASES.md](docs/BUSINESS_CASES.md). ## Лицензия Код репозитория — MIT. Данные источников сохраняют исходные лицензии (смешанные: MIT/Apache-2.0/CC0/CC-BY-4.0; один источник — SR-BH 2020 — без явной лицензии данных); перед коммерческим использованием сверяйтесь с лицензией конкретного источника по ссылке в таблице инвентаризации выше. Payload-ы — боевые артефакты: рендерить/исполнять только в изолированной среде.