前兩天freebuf有篇文章“繞過安全狗getshell一條龍”後來改名“MySQL聯合注入之繞過安全狗到GetShell”，再後來被刪掉了。並且那個繞過的方法現在也不能用了。今天我們用另外一種方法繞過，助力各位大大們。
原文出處：https://paper.tuisec.win/detail/2aeed7c4c339a4d
－－－－－－－－－－－－－－－－－－－
如果你認同支持我們每日分享的文章的話，請幫我們按個讚並且點擊追蹤「搶先看」，這樣就可以快速獲得最新消息囉！
您的分享及點讚，是我們最大的動力來源。
https://www.facebook.com/LonelyPoPo/
波波觀點：WAF 繞過研究要回到程式修補
WAF 繞過技巧本身有研究價值，但更重要的是理解為什麼後端程式仍然脆弱。WAF 可以降低攻擊雜訊，卻不能取代輸入驗證、參數化查詢、權限控管與錯誤處理。整理這篇文章時，建議把繞過方式視為防禦驗證的一部分，而不是把重點停在 payload 展示。
測試與驗證方向
- 記錄 WAF 規則、封鎖回應、日誌事件與後端應用程式實際處理結果。
- 區分 SQL Injection、XSS、命令注入與路徑穿越等不同風險，不混用測試結論。
- 確認測試結果是否回饋到程式碼修補，而不是只新增一條攔截規則。
- 檢查 CDN、反向代理、Nginx 與應用程式日誌是否能完整追蹤攻擊。
防禦與營運建議
企業使用 WAF 時，應該建立「阻擋、告警、追蹤、修補、回測」的閉環。若 WAF 被繞過，最終仍要回到應用程式安全設計，例如使用參數化查詢、白名單、輸出編碼與最小權限。WAF 規則則可作為短期緩解與攻擊可視化工具。
這篇文章後續可以補上合法測試情境、修補前後對照與誤判處理方式。這會讓內容更符合資安部落格的專業定位，也避免讀者只把它當作攻擊技巧清單。
