WAF原理与绕过思路

写在前面：合法学习边界

WAF 绕过测试只在授权测试环境进行。

1
① 流量接入 → ② 规则匹配 → ③ 动作执行（允许/阻止/重写）

1
2
3
4
5
编码绕过：URL编码/Base64/Unicode
分块传输：Transfer-Encoding: chunked
协议滥用：HTTP/2 · Host 头注入
大小写混淆：SeLeCt / UNION+SELECT
注释插入：/**/ · /*xx*/

1
2
规则更新 · 深度包检测（DPI）· 行为分析
多层 WAF 部署 · 异常流量告警

WAF 是 Web 安全的重要防线，但不是万能的。绕过 WAF 的方法多样，防御方需持续更新规则并结合行为分析。