WAF绕过的捷径与方法

在企业架构中，安详系统同剥洋葱一样平常，由外及内是由一层层的安详产物和类型组成，越处于外层承重越大，WAF 属七层防护的第一道墙，跟着互联网技能成长，营业对外提供处事的方法逐渐收拢，Web 接口与应用把持流量，WAF成了安详沙场中被炮火进攻最惨烈的前列。

一、痼疾

固然WAF 属于较成熟的安详产物，但差异公司，差异场景都也许衍生出差异的陈设方法，一个要害缘故起因就是安详、服从、本钱的不行能三角，互联网公司中，服从代表产物的易用性和相应时刻，每每很难有较大捐躯，本钱和安详的组合情势抉择了安详产物架构的差异，即便在倾向选择中安详成为首位，WAF 产物自己也有痼疾：HTTP 协媾和营业场景的伟大性导致很难有同一的计策类型，加之 WAF 抽离于营业代码逻辑以外，这些耦合上的瑕疵很轻易成为绕过 WAF 防护的打破口。

再者，不管是基于正则匹配照旧呆板进修，考量 WAF 的指标永久是彼此抵牾的：误报率，漏报率。在安详和服从(营业)的博弈中，没有美满，只有适配，这也就抉择了 WAF 的定位。

二、WAF 绕过

WAF 的痼疾在越来越伟大的体系对接中存在耦合罅漏，差异范例的裂痕，在 WAF 的 Bypass 测试中存眷点天然也差异，本文实行找寻一些法则反抗以外的捷径举办 bypass，通过以下几个维度举办实行：

• 架构层面
• 协议/中间件层面
• 体系/数据库/编程说话层面

1. 架构层面

在光怪陆离的 WAF 架构中，始终洗手不干于两种基本的架构：串联和旁路。

(1) 串联

串联 WAF 一样平常权重较高，对进攻的哀求和会话有优先于营业的一票反对权，是最为常见的 WAF 架构方法，不外串联接入营业意味着 WAF 体系会绑缚、分管营业指标，在日益追求高相应的伟大链路中强行增进了一个单点妨碍隐患，那查核运维结实性的指标(可用性、相应耗时和妨碍率等)将是悬置 WAF 头顶的达摩克利斯之剑。

串联 WAF 按照产物形态又有多种变形，常见的区分方法看装备陈设位置。

传统的硬件盒子装备一样平常安排在网关进口后，营业中间件之前，串联陈设方法有透明模式、反向署理模式等，其前置于中间件，意味着 WAF 需预留很大一部门机能来处理赏罚 HTTP 拆解和封装的事变，尤其是当下 HTTPS 已成为广泛场景，装备处理赏罚机能急剧降落，使得此类架构的本钱投入极大。

(2) 透明毗连模式：

(3) 反向署理模式：

当下云厂商最常用修改域名 CNAME 做多维安详防护的架构同硬件类陈设方法在应用场景视角是同等的，不外云厂商的装备和收集资源富厚，人才资源配备到位，又有大厂品牌背书，只要有足够的用户均派本钱，这种架构算在本钱、服从、安详不行能三角中属和谐最优的办理方案。

(4) CNAME 架构：

对付此类前置串联架构的 ByPass 测试需找寻 WAF 与中间件、后端营业间的耦合性罅漏，好比：

• 在行使了 SSL 套接字的会话中，协商加密算法属哀求方可控，WAF 和后端营业在算法支持上也许存在差此外一个切入点，遍历后端营业支持但 WAF 不支持的加密算法，便可直接绕过 WAF 了，相干器材见 Github：https://github.com/LandGrey/abuse-ssl-bypass-waf

SSL Bypass

• 针对 CNAME 方法接入 WAF 的体系，可否绕过的要害在于后端的营业设置是否严谨，假如后端营业未限定会见源，很轻易通过域名理会汗青和 [ 大局限的扫描 ] 定位到真实的 IP 地点，修改当地 HOST 便可以绕过 WAF 直接对后端体系举办进攻;
• WAF 与中间件的耦合罅漏在后续的中间件层面做具体讲授，此处不做赘述。

尚有另一类串联的陈设方法，即 WAF 装备位置后移，嵌套到中间件上，这样 WAF 的消费将分摊到营业呆板，这样的绑缚意味着一荣俱荣，一损皆损，又因位置后移到了营业侧，计策下发和打点都极其伟大，且中间件种类繁多，局限一大，这种架构堪称劫难，而跟着营业架构的逐渐优化，一样平常的互联网营业架构会前置越来越轻的转发层，将 WAF 嵌到转发层，或在转发层通过 openresty 等方法将哀求过一遍旁挂的 WAF 集群，这属对营业链路侵入最轻的一种方法，许多互联网公司自建的 WAF 回收该架构。

(5) 中间件陈设：

(6) OpenResty 陈设：

对付此类嵌套于中间件的 WAF 架构测试需针对 WAF 模块的体系耗能和超时为切入点，傍边间件或 WAF 模块到达必然的机能消费指标，一样平常 WAF 体系会预留相同硬件装备断电 bypass 的成果来保障营业可用性的强指标，通过这种途径即可打破 WAF，好比：

• 针对中间件自己的裂痕(譬喻: CVE-2018-1336 )/设置错误来触发 DOS，当体系能耗到达阈值，自动封锁 WAF 模块;
• 针对 WAF 体系的正则计策举办进攻，通过 ReDoS：https://www.owasp.org/index.php/Regular_expression_Denial_of_Service_-_ReDoS

使计策检测超时，单条会话跳过 WAF 集群相应，直接通联后端营业。

(7) 旁路

（编辑：河北网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!