網站有waf怎么滲透測試

如果網站存在WAF可以繞過WAF來繼續進行滲透測試，如果客戶不允許進行繞過WAF，可以讓客戶把你滲透測試所用的設備加入白名單從而可以繼續進行滲透測試。一般如果網站存在waf會通過技術手段進行繞過，這樣即可以檢測waf的安全防護能力又能對網站進行滲透測試，但是在繞過waf時不能使用暴力手段影響服務器的正常運行，繞過waf時需要和服務器管理員聯系。

常見的waf繞過技巧有以下這些：

• pipline繞過：pipline繞過利用了HTTP的管道化技術，HTTP遵循請求響應模型，發起A請求，目標返回A請求的響應，當然，WAF也是如此。利用這個原理使用管道化連接可以在發起請求的同時發送多個HTTP請求，如果WAF只判斷第一個請求，那么就能成功繞過WAF。

• 分塊傳輸繞過：分塊傳輸編碼是超文本傳輸協議（HTTP）中的一種數據傳輸機制，允許HTTP由網頁服務器發送給客戶端應用（通常是網頁瀏覽器）的數據分成多個部分。分塊傳輸編碼只在HTTP協議1.1版本（HTTP/1.1）中提供。分塊傳輸繞過利用了HTTP分塊傳輸編碼的特性，將傳輸的查詢語句分塊，從而繞過WAF的檢查。

• HTTP協議覆蓋繞過：HTTP協議覆蓋繞過通過更換Content-Type的類型來繞過WAF的檢測，目前很多WAF對Content-type的類型進行首要的檢測，WAF在對Content-type進行檢查時，對“multipart/form-data”協議的檢測比較少或者把它當作文件上傳進行檢查，所以我們利用這一特性對WAF進行繞過。

回答所涉及的環境：聯想天逸510S、Windows 10。