WAF 与 WAF 绕过

WAF 的工作原理

WAF 部署在客户端与 Web 服务器之间，逐包检查 HTTP 请求的 URL、参数、Header、Body，与规则集（如 OWASP ModSecurity CRS）比对特征，匹配则拦截或告警。

规则集基于已知攻击模式的正则表达式，比如检测 SQL 关键词 UNION SELECT、脚本标签 、../目录穿越序列等。ModSecurity + OWASP CRS 是最广泛部署的开源组合，商业 WAF（Cloudflare、阿里云、F5 Advanced WAF）则在此基础上叠加了威胁情报和机器学习能力。[1]

绕过技术全景

绕过的核心思路是：让规则引擎和后端应用对同一请求产生不同的解析结果。

• 编码绕过：URL 双重编码（%2527 代替 '）、Unicode 全角字符（ＳＥＬＥＣＴvs SELECT）、HTML 实体编码混用。
• 大小写与空白变形：SeLeCt、制表符替代空格、注释符填充（SE/**/LECT）。
• HTTP 参数污染（HPP）：同名参数重复出现，WAF 取第一个合法值，服务器取最后一个恶意值（或相反），利用解析歧义绕过。
• 分块传输（Chunked Encoding）：某些 WAF 不完整重组分块请求，攻击 payload 被切分在不同块中，WAF 看不到完整攻击串。
• 协议级混淆：HTTP/2 降级重编码、多路复用特性利用。

2021 年，研究员 Ivan Novikov 发表系统性总结，指出大多数商业 WAF 对 JSON 解析、multipart 边界和 XML 命名空间的支持存在差异，是绕过的高发区。

WAF 不是银弹——它能显著提高攻击成本，但不能替代安全编码和漏洞修复。业界主流观点是把 WAF 作为「防御纵深」的其中一层，而非唯一防线。