当 WAF 拦截注入载荷时，如何用编码…

Web 应用防火墙拦截 SQLi/XSS/RCE 载荷时，先识别 WAF 再按编码、协议、路径、载荷变异等类别逐层尝试绕过。

适用场景

解决思路

1. 先识别 WAF：用 `wafw00f target.com` 指纹识别厂商，用 `nmap --script=http-waf-detect` 检测，并手工检查 `Server`、`X-CDN`、`X-Cache`、`cf-ray`、`x-sucuri-id`、`x-akamai-*` 等响应头。
2. 做行为指纹：先发良性请求记录基线（状态码、头、body 大小），再发明显攻击 `/?q=<script>alert(1)</script>`，对比是否返回 403、自定义拦截页、重定向或连接重置；拦截页内容会暴露 WAF 名称；透明代理可通过响应延迟差异判断。
3. 尝试编码绕过：URL 编码 `%3Cscript%3E`、双重 URL 编码 `%253Cscript%253E`、Unicode 编码 `%u003Cscript%u003E`、HTML 实体 `&#60;script&#62;` 或 `&#x3c;script&#x3e;`、SQL 十六进制 `0x756E696F6E`、八进制 `\74script\76`、过长 UTF-8 `%C0%BC`、大小写混写 `SeLeCt`、空字节 `sel%00ect`。
4. 用分块传输编码（chunked）把载荷拆到多个 HTTP chunk，使任一 chunk 都不含被拦截模式，例如把 `select` 拆成 `sel` 和 `ect` 两个 chunk。
5. 利用 HTTP/2 二进制格式：头以 HPACK 二进制帧传输，头名可含 HTTP/1.1 非法字符，伪头（`:method`、`:path`）可绕过基于头的 WAF 规则；注意 H2→H1 降级可能引入请求走私。
6. 用 HTTP 参数污染（HPP）：利用不同服务器对重复参数处理不同（PHP/Apache 取最后值、ASP.NET/IIS 拼接、Python/Flask 取首值、Node.js/Express 成数组），让 WAF 检查良性值而应用使用恶意值，或用 `a=sel&a=ect` 让 ASP.NET 拼成 `sel,ect`。
7. 伪造 IP 来源绕过基于 IP 的规则：注入 `X-Forwarded-For: 127.0.0.1`、`X-Real-IP`、`X-Originating-IP`、`True-Client-IP`、`CF-Connecting-IP`、`X-Client-IP`、`Forwarded: for=127.0.0.1`，利用 WAF 对内部 IP 的白名单或不同规则集。
8. 用路径规范化技巧：点段 `/./admin` 或 `/../target/admin`、双斜杠 `//admin`、路径 URL 编码 `/%61dmin`、路径空字节 `/admin%00.jpg`、IIS 反斜杠 `/admin\..\/secret`、Windows 尾随点或空格 `/admin.` 或 `/admin%20`、Tomcat 分号 `/admin;jsessionid=x`。
9. 操纵 Content-Type：从 `application/x-www-form-urlencoded` 切换到 `application/json`、`multipart/form-data` 或 `text/xml`，利用 WAF 对 JSON 等格式检查较弱；若应用同时接受 JSON 和表单，优先用 JSON。
10. 滥用 multipart 边界：使用超长 boundary、含特殊字符的 boundary、缺失结尾 boundary 或嵌套 multipart，使 WAF 无法完整解析。
11. 注入换行与空白拆分关键字：SQL 关键字中间换行（`SEL\nECT`）、插入注释（`SEL/**/ECT`、`UN/**/ION SEL/**/ECT`）、用制表符或垂直制表符作分隔符。
12. 使用关键字拆分与替代语法：`UNION SELECT` 换成 `UNION ALL SELECT` 或 `UNION DISTINCT SELECT`；`OR 1=1` 换成 `OR 2>1`、`OR 'a'='a'`、`||1`；`<script>` 换成 `<svg/onload=alert(1)>` 或 `<img src=x onerror=alert(1)>`；`alert(1)` 换成 `prompt(1)`、`confirm(1)`、`print()`；`eval()` 换成 `Function('code')()`、`setTimeout('code',0)`；`' OR '1'='1` 换成 `' OR 1-- -`、`'||'1`；`SLEEP(5)` 换成 `BENCHMARK(5000000,SHA1('x'))`、`pg_sleep(5)`。
13. 滥用请求行：使用绝对 URI 形式 `GET http://target.com/path?q=attack HTTP/1.1`，部分 WAF 会漏掉路径。
14. 用 CRLF 注入头：在自定义头中注入 `\r\nX-Forwarded-For: 127.0.0.1`，让 WAF 检查原始头而应用处理注入头。
15. 利用连接状态：先通过 WAF 建立正常请求，再在同一 keep-alive 连接上发送攻击请求，部分 WAF 会降低后续请求的检查强度。
16. 按决策树逐层尝试：识别 WAF → 编码绕过 → 协议级绕过（切换 Content-Type、HPP、chunked、HTTP/2、绝对 URI）→ 路径绕过（规范化、换 HTTP 方法、替代端点）→ 载荷变异（SQL 注释/替代函数/十六进制、XSS 替代标签/事件/模板字面量、RCE 通配符/字符串拼接/变量展开）→ IP 来源绕过（伪造头、直连源站、通过 Shodan/历史 DNS/邮件头找源 IP）→ 请求走私完全跳过 WAF。
17. 用真实利用验证绕过，不要只看 200 OK：WAF 可能返回 200 但静默剥离载荷。
18. 利用 WAF 大小限制：超大请求体（约 8KB–128KB，视 WAF 而定）可能完全绕过检查。
19. 区分限速与 WAF：429 是限速而非载荷拦截，需要不同的绕过方式。
20. 利用 CDN 缓存：若 WAF 在 CDN 层，先用干净请求污染缓存，后续请求命中缓存即绕过 WAF。
21. 直连源站：找到 CDN/WAF 背后的源 IP 后直接连接，完全绕过 WAF。
22. 利用 multipart 文件上传字段：WAF 常跳过 multipart 上传中的文件内容检查，可把载荷嵌入文件名或文件内容（若被回显）。

适用边界 · 注意事项

• 目标没有 WAF 或拦截并非载荷匹配（如 429 限速）时，这些绕过无意义，应改用其他思路。
• 仅做防御加固或合规审计时，不应使用绕过技术，而应关注参数化查询、CSP、输出编码与 WAF 规则更新。
• 未获授权对目标进行测试时不得使用。