隨著網絡安全越來越受到重視，發展越來越快。隨之也出現了越來越多的安全防護的軟件。
了解WAF在網絡空間的位置，我們便可以更清楚的知道使用哪些知識來協助我們進行WAF bypass。
原文出處：http://drops.xmd5.com/static/drops/tips-7883.html
波波觀點：WAF 是風險降低工具，不是萬靈丹
WAF 可以阻擋大量已知攻擊模式，但它不是修補漏洞本身。理解 WAF bypass 的目的，應該是幫助防禦者知道規則、解析器、編碼、上下文與應用程式行為之間可能有落差，而不是把 WAF 當成唯一防線。
常見觀察方向
- 編碼差異：URL encode、Unicode、大小寫、空白與分隔符處理。
- 解析差異：代理、WAF、Web server、框架對同一請求的理解不同。
- 上下文差異：SQL、HTML、JavaScript、檔案路徑與命令列需要不同防護。
- 業務邏輯：WAF 很難理解權限流程、狀態機與資料關係。
防禦建議
WAF 應搭配程式修補、輸入驗證、輸出 escaping、權限檢查、日誌監控與速率限制。任何繞過測試都應限於授權範圍，並以改善規則與修補根因為目標。
若要評估 WAF 效果，報告中應清楚列出測試範圍、被阻擋與未被阻擋的類型、應用程式根因、誤判風險與後續調整建議，避免只留下繞過技巧。
