上一篇
http协议waf
HTTP协议是客户端与服务器间超文本传输的应用层协议，基于请求-响应模型；WAF（Web应用防火墙）通过解析HTTP流量，识别并拦截SQL注入、XSS等
HTTP协议WAF工作原理
WAF（Web应用防火墙）通过解析HTTP协议中的请求和响应内容，识别并拦截反面流量，其核心逻辑包括：
- 协议解析：拆解HTTP请求的组成部分（如Headers、Body、Params、Cookies、URL路径）。
- 规则匹配：基于预定义的反面特征库（如SQL注入、XSS攻击），对请求内容进行正则匹配或特征识别。
- 行为分析：结合请求频率、参数异常、逻辑破绽利用等行为模式，判断攻击意图。
- 响应阻断：对匹配反面规则的请求直接返回错误码（如403），或动态过滤响应内容。
HTTP协议中WAF的检测维度
| 检测对象 | 典型攻击特征 | WAF检测逻辑 |
|---|---|---|
| URL路径 | /admin%27%20OR%201=1-- | 检测SQL注入特征（如OR、） |
| 请求参数 | param=<script>alert(1)</script> | 匹配XSS脚本标签（如<script>） |
| Headers | User-Agent: sqlmap | 识别工具特征（如sqlmap、nmap） |
| Cookies | cookie=%3C%2Fscript%3E | 检测Cookie值中的反面代码 |
| Body内容 | SELECT FROM users WHERE id=1 | 识别SQL语法关键词（如SELECT、UNION） |
常见WAF绕过技术
编码混淆
| 原始攻击 | 绕过方式 | 原理 |
|---|---|---|
id=1 AND 1=1 | id=1%20AND%201=1（URL编码） | WAF可能忽略空格或单字符编码变体 |
<script>alert(1)</script> | <scr%69pt>alert(1)</scr%69pt> | 混合大小写或十六进制编码绕过正则匹配 |
参数被墙
| 攻击场景 | 绕过方式 | 原理 |
|---|---|---|
param=1' OR '1'='1 | param=1'%20OR%201=1¶m=2 | 利用多参数拼接破坏WAF规则逻辑 |
协议层绕过
| 攻击载体 | 绕过方式 | 原理 |
|---|---|---|
| HTTP Headers | 修改Content-Type为multipart/form-data | 伪装请求类型绕过规则匹配 |
| HTTP Method | 使用OPTIONS方法探测WAF规则 | 部分WAF仅针对GET/POST设计规则 |
WAF防御策略优化建议
- 规则更新：定期同步攻击特征库（如OWASP Top 10），覆盖新型攻击手法（如时间盲注、无字母数字攻击）。
- 动态检测：结合AI模型分析请求行为（如短时间内多次失败登录、异常参数组合）。
- 响应混淆：对敏感错误信息（如数据库报错）进行模糊化处理，避免泄露细节。
- 流量清洗：部署CDN或反向代理（如Cloudflare）分流反面请求，降低源服务器压力。
相关问题与解答
问题1：如何判断目标网站是否启用了WAF？
解答：
- 错误页面特征：尝试注入攻击（如
id=1'），观察返回是否为通用错误页（如Cloudflare的RayBan页面）。 - 响应头检查：查看
Server、X-Powered-By等Header是否被改动或隐藏。 - 工具测试：使用
sqlmap或XSSer发送攻击请求，若返回固定错误码（如403）且无细节泄露，可能启用了WAF。
问题2：如何绕过基于正则表达式的WAF规则？
解答：
- 拆分关键字：将攻击语句拆分为多个参数（如
id=1 AND+1=1），避开单条规则的完整匹配。 - 大小写混合：利用WAF规则的大小写敏感缺陷（如
SeLeCt代替SELECT）。 - 注释符号替换：将替换为或，绕过SQL注释规则的正
