八种 WAF 无法防护的风险
内容提要
该文章介绍了常见的网络安全漏洞测试用例和无法拦截这些漏洞的原因。实战数据显示，即使有WAF防护，仍存在公网可利用的风险。解决实际问题需要具备不依赖开源工具的安全能力。
延伸解读
WAF 防护的固有盲区
文章指出，目录遍历、未授权访问、备份文件泄露和数据泄露等漏洞的请求往往没有明显的恶意特征，WAF 难以将其判定为攻击行为。这意味着仅依赖特征匹配的防护策略存在天然盲区，攻击者可能利用这些看似正常的请求绕过检测。
绕过 WAF 的常见手法
源站暴露和 QPS 超限是两种典型的绕过方式。攻击者通过直接访问源站 IP 可完全跳过 WAF；而当请求量激增超出 WAF 处理上限时，部分 WAF 会直接放行请求，导致无法分析和拦截。这些手法不依赖复杂技术，却可能造成实质风险。
慢速攻击与配置风险
慢速爆破通过控制探测频率，使计数周期内的请求次数低于 WAF 告警阈值，从而避免触发防护。此外，部分 WAF 因误报率高，用户可能选择不开启拦截功能，使防护形同虚设。这两类问题分别涉及策略绕过和人为配置，需引起重视。
对安全能力建设的启示
文章最后强调，解决实际问题需要不依赖开源工具的安全能力，并应正向研发以满足用户需求。这提示我们，WAF 并非万能，企业需结合攻击面管理、定期评估和自研能力，构建多层防御体系，才能有效应对不断演变的威胁。
Q&A
WAF 为什么无法拦截目录遍历漏洞？
因为目录遍历漏洞的请求中无明显恶意特征，WAF 无法判断为攻击行为，因此无法拦截。
攻击者如何绕过 WAF 直接访问源站？
攻击者通过域名解析后的 IP 地址直接访问源站，因为 WAF 一般只拦截来自域名的访问请求，从而绕过 WAF。
慢速爆破为什么不会触发 WAF 告警？
慢速猜解目录时，只要计数周期内的探测次数小于 WAF 阈值，就不会触发告警。
QPS 超限时 WAF 会如何处理请求？
部分 WAF 在请求量激增超出 QPS 处理上限后，会直接放行请求至服务器，无法进行分析和拦截。
为什么有些用户不开启 WAF 的拦截功能？
因为部分 WAF 误报太多，用户不敢开启拦截功能。
哪些漏洞类型在 WAF 防护下仍存在公网可利用风险？
目录遍历、未授权访问、备份文件泄露、数据泄露、源站暴露等类型在 WAF 防护下仍存在公网可利用风险。
