如何检测和防范 waf 被绕过

（一）基于流量分析

  1. 流量特征监测
    • 协议和端口分析：仔细观察网络流量中的协议类型和端口使用情况。正常情况下，经过 WAF 的流量应该符合预期的协议规范。例如，HTTP/HTTPS 流量应该遵循标准的请求 – 响应模式。如果发现大量非标准的协议流量或者使用异常端口（如利用非标准端口进行数据传输以绕过 WAF 对常用端口的检测），可能表示存在绕过 WAF 的尝试。
    • 流量模式识别：分析流量的时间分布和请求频率模式。攻击者为了绕过 WAF，可能会采用缓慢而持续的攻击方式，例如低频的恶意请求，以避免触发 WAF 的阈值检测。通过对历史正常流量模式的学习，对比当前流量，若发现某些 IP 地址或用户代理（User – Agent）的请求频率异常低但持续不断，且请求内容存在可疑之处（如包含 SQL 注入或 XSS 攻击特征的字符串），这可能是一种绕过手段。
    • 数据包内容检查：对网络数据包的内容进行深度检查。查看请求头、请求体和响应内容中的异常字符、编码方式或加密迹象。例如，攻击者可能会使用特殊的编码（如 URL 编码、Base64 编码等）来隐藏恶意脚本，或者尝试通过加密部分请求内容来绕过 WAF 对明文攻击的检测。如果发现大量包含异常编码或加密的请求，且这些请求无法通过正常业务逻辑解释，就需要进一步调查是否是绕过 WAF 的行为。
  2. 流量来源和目的地追踪
    • IP 地址信誉评估：利用 IP 信誉数据库对流量的源 IP 地址进行评估。如果发现大量流量来自信誉较低的 IP 地址范围（如已知的代理服务器、僵尸网络 IP 段等），并且这些流量呈现出异常的行为（如频繁访问敏感资源或尝试突破安全限制），可能是攻击者在利用这些 IP 来绕过 WAF。同时，关注内部网络 IP 地址的流量，如果内部 IP 出现不符合正常业务流程的对外访问或接收异常流量，也可能是 WAF 被绕过的迹象。
    • 目标资源访问追踪：监控对敏感资源（如包含用户数据的数据库接口、管理员后台接口等）的访问情况。如果发现某些请求绕过了 WAF 直接访问这些敏感资源，可能是通过某种手段（如利用 WAF 配置的漏洞、网络拓扑中的未受保护路径等）实现的。通过在服务器端记录访问这些资源的详细日志，包括请求来源、访问路径和时间等信息，可以帮助检测是否存在异常访问。

（二）利用日志分析

  1. WAF 日志审查
    • 攻击签名匹配：仔细检查 WAF 日志中的攻击签名匹配记录。正常情况下，WAF 应该能够检测并拦截常见的攻击类型，如 SQL 注入、XSS 攻击等。如果发现某些攻击签名没有被拦截，或者攻击签名被频繁匹配但没有触发有效的防护措施（如只是记录而没有阻止请求），这可能表示攻击者找到了绕过 WAF 的方法。同时，注意日志中是否有大量相似的攻击尝试，这可能是攻击者在不断测试绕过 WAF 的不同策略。
    • 异常请求记录：寻找日志中的异常请求记录，例如请求头或请求体中包含奇怪的字符组合、不符合正常语法规则的 URL 路径或参数。这些异常请求可能是攻击者试图利用 WAF 规则的漏洞进行绕过。另外，关注日志中的请求状态码，如大量的 403（禁止访问）或 500（服务器内部错误）状态码可能表示 WAF 与后端服务器之间的交互出现问题，也可能是攻击者在尝试绕过 WAF 时导致的。
  2. 服务器日志关联分析
    • 结合访问日志和错误日志：将服务器的访问日志和错误日志与 WAF 日志进行关联分析。例如，在服务器访问日志中发现有请求成功访问了应该被 WAF 拦截的资源，而在 WAF 日志中却没有对应的拦截记录，这就表明可能存在 WAF 被绕过的情况。同时，通过分析服务器错误日志，查看是否有因恶意请求导致的后端服务错误（如数据库查询错误、脚本执行错误等），这些错误可能是由于攻击者绕过 WAF 后发送的恶意内容引起的。
    • 分析业务流程相关日志：根据具体业务流程，查看业务相关的日志记录。例如，在电商网站中，关注订单处理、用户登录等关键业务环节的日志。如果发现不符合正常业务逻辑的操作记录（如未经过身份验证就完成了订单支付等），且 WAF 没有对此进行拦截，可能是 WAF 被绕过导致的安全漏洞。

（三）主动安全测试

  1. 漏洞扫描与渗透测试
    • 模拟攻击测试：定期使用专业的漏洞扫描工具和进行渗透测试，模拟攻击者的行为来检测 WAF 的有效性。这些工具可以包括开源的漏洞扫描器（如 Nessus、OpenVAS 等）和商业渗透测试工具。在测试过程中，尝试各种已知的绕过技术，如 SQL 注入绕过技巧（如利用注释、编码等方式）、XSS 攻击绕过方法（如通过标签属性注入等），观察 WAF 是否能够有效拦截这些攻击。同时，对测试结果进行详细记录，分析 WAF 未能拦截的攻击原因，以便及时发现和修复 WAF 的漏洞。
    • 黑盒和白盒测试结合：采用黑盒测试和白盒测试相结合的方式。黑盒测试从外部攻击者的角度出发，不了解 WAF 的内部结构和配置，通过尝试各种输入和请求来检测是否能够绕过。白盒测试则基于对 WAF 配置文件、规则逻辑和系统架构的了解，检查是否存在配置错误、规则漏洞或代码缺陷导致的可绕过点。例如，在白盒测试中，审查 WAF 的规则代码，查看是否存在逻辑漏洞，如不恰当的正则表达式、不完整的过滤条件等，这些都可能被攻击者利用来绕过 WAF。

二、防范 WAF 被绕过的措施

（一）强化 WAF 配置

  1. 规则优化与更新
    • 定期更新规则库：订阅 WAF 供应商提供的规则库更新服务，确保 WAF 能够及时获取最新的攻击特征和防护规则。这些更新通常包含了对新型攻击手段的检测和防范规则，如针对新发现的零日漏洞的防护规则。同时，定期手动检查和更新规则库，根据行业内最新的安全研究成果和自身网站或应用的实际情况，对规则进行微调。例如，对于金融行业网站，可能需要更严格的规则来防范资金交易相关的攻击。
    • 自定义规则设置：根据业务需求和安全策略，制定个性化的 WAF 规则。例如，对于特定的敏感接口或页面，设置更严格的访问控制规则，如限制 IP 访问范围、限制请求方法（只允许 POST 或 GET 方法中的一种用于特定接口）等。同时，对用户输入的内容进行深度过滤，如对 SQL 查询语句、HTML 标签等进行严格的白名单或黑名单过滤。在自定义规则时，要充分考虑可能的绕过方式，避免规则过于简单而被攻击者利用。
  2. 配置审查与加固
    • 检查访问控制设置：仔细审查 WAF 的访问控制配置，包括 IP 白名单和黑名单、用户认证和授权规则等。确保白名单中的 IP 地址是经过严格审核的合法 IP，避免攻击者将自己的 IP 添加到白名单中。对于黑名单，及时更新已知的恶意 IP 地址段。同时，检查用户认证和授权规则是否存在漏洞，如弱密码策略、权限过度开放等问题，这些都可能被攻击者利用来绕过 WAF 进入系统。
    • 调整阈值和限制参数：根据网站或应用的正常流量和性能特点，合理设置 WAF 的阈值和限制参数。例如，对于请求频率限制，不能设置得过低，以免影响正常用户的使用体验，但也不能过高，导致攻击者能够通过低频攻击绕过检测。同时，对请求体大小、参数长度等参数进行限制，防止攻击者利用超大请求来绕过 WAF 的过滤机制。在设置这些参数后，要进行充分的测试，确保在防范攻击的同时不会对正常业务造成负面影响。

（二）多层安全防护

  1. 结合其他安全工具
    • 与防火墙协同工作：将 WAF 与防火墙紧密结合，利用防火墙的网络层访问控制功能来补充 WAF 的防护。防火墙可以在网络入口处对流量进行初步筛选，如根据 IP 地址、端口号等基本信息进行过滤，阻止一些明显的恶意流量进入 WAF 的检测范围。同时，WAF 可以对经过防火墙的流量进行更深入的应用层检测，两者协同工作，提高整体的防护效果。例如，防火墙可以阻止来自已知恶意 IP 段的所有流量，而 WAF 则可以对通过防火墙的合法 IP 的请求进行 SQL 注入和 XSS 攻击检测。
    • 集成入侵检测 / 防御系统（IDS/IPS）：与 IDS/IPS 集成，IDS 可以对网络中的异常行为进行实时监测和报警，当发现可能的绕过 WAF 的攻击行为时，及时通知管理员。IPS 则可以在检测到攻击时自动采取防御措施，如阻断连接、重置会话等。例如，当 IDS 发现有疑似绕过 WAF 的慢速攻击（如低频的 SQL 注入尝试）时，IPS 可以根据预先设置的策略立即阻断相关的连接，防止攻击进一步实施。
  2. 采用加密和身份验证技术
    • 加密敏感数据传输：对网站或应用中的敏感数据（如用户登录凭证、金融交易数据等）进行加密传输，使用 SSL/TLS 协议确保数据在网络中的保密性和完整性。这样即使攻击者绕过 WAF，也难以获取和篡改敏感数据。同时，对加密密钥进行严格的管理，定期更换密钥，确保密钥的安全性。例如，在电商网站的支付页面，通过 SSL/TLS 加密确保用户信用卡信息在传输过程中的安全。
    • 强化身份验证机制：采用多因素身份验证（MFA）技术，如结合密码、短信验证码、数字证书等方式，提高用户身份验证的可靠性。这样可以防止攻击者通过绕过 WAF 后，利用窃取的用户名和密码进行非法访问。例如，企业内部的管理系统可以要求管理员在登录时输入密码和动态短信验证码，增加攻击者获取系统访问权限的难度。

（三）安全意识培训与应急响应

  1. 人员培训
    • 安全意识教育：对开发人员、运维人员和安全管理人员进行安全意识培训，让他们了解 WAF 的工作原理、常见的绕过技术以及可能带来的安全风险。培训内容可以包括如何编写安全的代码（避免代码中的安全漏洞被攻击者利用来绕过 WAF）、如何正确配置和维护 WAF 等。例如，开发人员在编写用户输入处理代码时，要知道如何进行严格的输入验证，避免 SQL 注入和 XSS 漏洞，从而减少攻击者绕过 WAF 的机会。
    • 应急响应培训：建立应急响应团队并进行培训，使其熟悉在发现 WAF 被绕过后的应急处理流程。培训内容包括如何快速隔离被攻击的系统部分、如何收集和保存证据（如攻击相关的日志、数据包等）、如何恢复系统正常运行等。例如，当发现 WAF 被绕过导致网站数据泄露时，应急响应团队要能够迅速采取措施，暂停受影响的服务，备份相关数据，防止数据进一步丢失，并对攻击事件进行调查和修复。
  2. 应急响应计划
    • 制定应急预案：制定一套完善的应急响应计划，明确在 WAF 被绕过情况下各部门和人员的职责分工、响应流程和沟通机制。例如，当检测到 WAF 被绕过攻击时，网络安全团队负责立即采取技术措施进行阻止和调查，开发团队负责检查代码是否存在安全漏洞，运维团队负责保障系统的稳定运行和数据备份。同时，规定在不同类型攻击（如数据泄露、系统篡改等）下的具体应对措施，确保能够快速、有效地应对 WAF 被绕过的安全事件。
    • 定期演练和更新：对应急响应计划进行定期演练，通过模拟真实的攻击场景，检验团队的响应能力和计划的有效性。根据演练结果和实际攻击事件的经验教训，及时更新应急响应计划，确保其能够适应不断变化的安全威胁。例如，在演练过程中发现沟通机制不畅导致响应延迟的问题，及时对计划进行调整，优化沟通流程。