今天分享一篇WAF攻防介紹，在實際攻擊場景中，單一的繞過技巧往往無效，需要我們綜合利用各種繞過技術進行組合，結合各自WAF特性不斷進行推理，才能真正實現繞過。
原文出處：http://galaxylab.org/waf%E6%94%BB%E9%98%B2%E4%B9%8Bsql%E6%B3%A8%E5%85%A5%E7%AF%87/
波波觀點：WAF 攻防要回到根因修補
WAF 可以阻擋大量常見攻擊，但它不是漏洞修補。WAF 繞過通常來自編碼差異、解析差異、規則覆蓋不足或業務邏輯不在規則理解範圍內。理解這些限制，目標應該是改善防護，而不是依賴單一設備。
評估 WAF 時要看什麼
- 是否能阻擋常見注入、XSS、檔案上傳與掃描行為。
- 是否有足夠日誌，能看到來源 IP、規則命中、請求路徑與處理動作。
- 誤判是否影響正常使用者與搜尋引擎爬蟲。
- 是否能與程式修補、速率限制、身份驗證與監控流程配合。
防禦建議
對 WordPress 與一般 Web 站台而言，WAF 適合作為額外保護層。真正的優先順序仍是更新核心與外掛、移除不用功能、修補程式問題、收斂管理入口並保留可追蹤的日誌。
若使用 Cloudflare WAF 或主機端規則，建議定期檢查命中紀錄與誤判案例。規則調整應以保護真實攻擊面為目標，避免為了測試分數加入過度複雜且難維護的設定。
