八种 WAF 无法防护的风险
💡
原文中文，约1300字，阅读约需3分钟。
📝
内容提要
该文章介绍了常见的网络安全漏洞测试用例和无法拦截这些漏洞的原因。实战数据显示，即使有WAF防护，仍存在公网可利用的风险。解决实际问题需要具备不依赖开源工具的安全能力。
🎯
关键要点
- 目录遍历漏洞测试用例：请求中无明显恶意特征，无法判断为攻击行为，存在公网可利用风险。
- 未授权访问测试用例：请求中无明显恶意特征，无法判断为攻击行为，存在公网可利用风险。
- 备份文件泄露测试用例：请求中无明显恶意特征，无法判断为攻击行为，存在公网可利用风险。
- 数据泄露测试用例：请求中无明显恶意特征，无法判断为攻击行为，存在公网可利用风险。
- 源站暴露：WAF 只拦截域名请求，攻击者可直接通过 IP 访问，绕过 WAF。
- QPS 超限：部分 WAF 在请求量激增时放行请求，无法分析和拦截。
- 慢速爆破：探测次数小于 WAF 阈值时不会触发告警，存在安全隐患。
- 未开启拦截功能：部分 WAF 误报太多，用户不敢开启拦截功能。
- 解决实际问题需要不依赖开源工具的安全能力，正向研发满足用户需求。
➡️
