Agent Skills
返回列表
🔒

WAF绕过技术指南

IT 运维与安全 更新于 2026.08.30

将以下提示词粘贴到你的 AI 对话框中：

请根据 https://skillhub.cn/install/skillhub.md，安装 @user_3c6cb52e/waf-bypass-sh-uzw2mn，将 WAF 绕过技术指南加载到 AI 助手中以便在安全测试时调用。

技能介绍

要解决什么问题

在 Web 应用渗透测试中，payload 被 WAF（Web Application Firewall）拦截是最常遇到的卡点。URL 编码被识别、关键字被正则命中、请求频率触发阈值，测试流量还没到达目标应用就被丢弃。WAF Bypass Techniques 把这类绕过尝试整理成一份可逐项执行的 checklist，帮助测试人员系统地排查拦截原因，而不是反复盲改 payload。

核心能力与工作方式

技能激活后会按固定顺序加载方法论，作为操作清单使用：

  • 编码绕过：URL、HTML、Unicode、双重编码逐层尝试，观察 WAF 的解码深度差异
  • 大小写变换与注释注入：利用解析器与 WAF 规则对大小写敏感度及注释符号的分歧
  • HTTP 层操控：修改请求头、使用 chunked 分块传输编码拆分流量特征
  • 来源与时序调整：IP rotation 轮换源地址，结合 timing attacks 探测过滤逻辑的时间窗口
  • 载荷混淆：针对特定 WAF 厂商的规则库定制 obfuscation 策略

使用时按步骤顺序执行，每一步都结合当前目标与上下文判断适用性，并记录哪些 checklist 项已完成，最后根据发现给出下一步建议。

适用边界与注意点

  • 这是一份辅助方法论，不提供自动化攻击工具，实际效果取决于目标 WAF 的厂商、版本与规则配置
  • 所有技术仅应用于已获得授权的测试范围，IP rotation 和 timing attacks 在未授权场景下可能构成额外风险
  • 不同 WAF 的绕过手法不可直接复用，payload obfuscation 需按厂商逐目标验证
  • 若用户明确指定了执行顺序，技能会跳过默认流程按自定义顺序进行

使用场景

  • 在授权 Web 应用渗透测试中，payload 被 WAF 拦截，需要按 checklist 测试 URL 与双重编码绕过并记录结果。
  • 安全工程师面对关键字规则拦截，需要评估大小写变换、注释注入和 HTTP 头部操控是否能绕过。
  • 红队成员需要验证目标 WAF 对 chunked 编码和分块流量的检测，确认请求拆分是否可行。
  • 测试人员在授权环境评估 WAF 厂商规则，需要用 IP 轮换与 timing 探测过滤窗口，并建议后续混淆策略。

适合人员

  • 渗透测试工程师：需要在授权 Web 测试中绕过 WAF 拦截，验证应用真实漏洞。
  • 应用安全工程师：需要评估当前 WAF 对编码变换、头部操控等绕过手法的覆盖。
  • 红队/攻防演练人员：需要在目标环境中测试 IP 轮换与时序绕过是否可行。
  • Web 应用开发与测试人员：需要在自有 WAF 前验证 payload 混淆策略，避免误拦。