Waf功能、分类与绕过

WAF功能、分类与绕过

一、WAF功能

WAF（Web应用防火墙）是专门为Web应用提供保护的一款产品，通过执行一系列针对HTTP/HTTPS的安全策略来确保Web应用的安全性。其主要功能包括：

1. 网马木马主动防御及查杀：采用特征码+启发式引擎的查杀算法，高效检测和清除网页木马。
2. 流量监控：实时监测网站的进出流量、总流量以及CPU占用情况，帮助管理员了解网站运行状况。
3. 网站漏洞防御：拦截GET、POST、COOKIES等方式的SQL注入、XSS注入等攻击行为，保护网站免受漏洞攻击。
4. 危险组件防护：全面拦截恶意代码对组件的调用权限，保护网站组件安全。
5. .Net安全保护模块：禁止.Net执行系统敏感函数，提高网站安全性。
6. 双层防盗链链接模式：防止图片、软件等资源被非法引用，保护网站资源。
7. 网站特定资源防下载：支持对特定资源的防下载保护，防止敏感资料泄露。
8. CC攻击防护：采用独特的抗攻击算法和主动防御系统，有效防御CC攻击和流量攻击。
9. 网站流量保护：支持下载流量控制和下载线程控制，提高服务器性能，保护网站流量。
10. IP黑白名单：允许用户设置个性化的IP信任列表，直接屏蔽或允许指定IP访问网站，提高网站安全性。

二、WAF分类

WAF根据实现方式和部署方式的不同，可以分为硬件WAF、软件WAF和云WAF三类：

1. 硬件WAF：通常将WAF串行部署在Web服务器前端，通过代理技术代理外部流量，并对请求包进行解析和安全规则匹配。常见的硬件WAF品牌有绿盟、启明、安恒、知道创宇、天融信等。

2. 软件WAF：安装在需要防护的服务器上，通过监听端口或以Web容器扩展方式进行请求检测和阻断。常见的软件WAF有安全狗、云锁、中间件自带的WAF模块、D盾等。

3. 云WAF：也称WEB应用防火墙的云模式，用户无需在自己的网络中安装软件程序或部署硬件设备，即可对网站实施安全防护。云WAF利用DNS技术，通过移交域名解析权来实现安全防护。用户的请求首先发送到云端节点进行检测，如存在异常请求则进行拦截，否则将请求转发至真实服务器。常见的云WAF提供商有阿里云、安全狗、安恒、知道创宇、腾讯网站管家等。

三、WAF绕过方法

WAF虽然能够提供强大的安全防护，但并非无懈可击。以下是一些常见的WAF绕过方法：

1. 使用Burp Suite的WAF模块：通过安装Burp Suite的WAF模块，可以模拟和绕过WAF的检测机制。

2. 伪造User-Agent头或白名单特殊目录：将User-Agent修改为百度、谷歌等搜索引擎的User-Agent，或者伪造白名单中的特殊目录，以绕过WAF的检测。

   

3. 编码绕过：对SQL语句进行编码处理，如URL编码、Base64编码等，以绕过WAF的检测。

   

4. 修改请求方式绕过：利用WAF的默认规则，如只针对GET请求进行拦截，而不对POST请求进行拦截。此时，可以通过修改请求方式为POST来绕过WAF的检测。

   

5. 复合参数绕过：通过将多个相同的参数名与不同的参数值组合在一起，形成复合参数，以绕过WAF的检测。

6. WAF触发规则的绕过：利用特殊字符替换空格、特殊字符拼接、注释包含关键字、空格替换法、使用大小写、双写绕过、异或绕过等方法，来绕过WAF的触发规则。

7. 分块传输绕过：通过修改HTTP请求头中的Transfer-Encoding为chunked，将请求体分成多个块进行传输，以绕过WAF的检测。

8. 云WAF绕过：寻找真实IP绕过云WAF的防护，或者通过伪造请求包头信息（如X-Originating-IP、X-Forwarded-For等）来绕过云WAF的检测。

需要注意的是，WAF绕过方法并非一成不变，随着WAF技术的不断发展和完善，一些旧的绕过方法可能会失效。因此，需要不断学习和探索新的WAF绕过方法，以应对不断变化的网络安全威胁。同时，也要加强Web应用的安全防护，提高Web应用的安全性和稳定性。