其他分享
首页 > 其他分享> > 阿里云WAF本地验证及误拦截处理

阿里云WAF本地验证及误拦截处理

作者:互联网

阿里云WAF本地验证及误拦截处理   周五做的实验。WAF本地验证是基于我的好奇心(因为一开始看帮助文档有点懵逼,还瞎问人家),不搞清楚有点郁闷;   另一个误拦截处理,是源于天翼WAF对于误拦截,我们自己是无法在控制台开起来的,只能反馈让他们后台处理,非常被动。而阿里的WAF说我们能自己操作,我特意去验证下是不是真的 = =(骗我不重要,骗了老板就呵呵哒)

 

一、WAF本地验证 参考:https://help.aliyun.com/document_detail/45267.html      我觉得,这个文档里面没有说清楚为什么需要这个本地验证,倒是前一篇使用教程稍微提了下【https://help.aliyun.com/document_detail/162902.html】 基于我的实验测试和个人理解,特意总结下(如果有啥不妥,欢迎读者指出 ^_^) 为什么需要WAF本地验证?   如果有配置过WAF,都知道防护域名Cname解析到WAF之前,通常是一个A记录解析到公网ip的服务器上。假设根域名为:haha.cn, ping 这个test1.haha.cn,应该返回的是服务器公网ip。

   当真正需要解析到WAF时,需要删除这个A记录,取而代之是CNAME:

 

   WAF本地验证,就是基于域名还是指向服务器公网IP的A记录,但由于你本人在自己本地电脑强制写hosts,当你本人浏览器访问域名的时候,实际域名是指向将要配置的WAF解析的IP(有点拗口)

请看下图,登录WAF控制台后,

(1)网站接入添加域名:

 

 

 

    点击下一步,会有个“复制WAF提供的CNAME地址”

      ping这个WAF提供的CNAME地址会返回WAF的公网地址,把这个地址跟你添加的防护域名写到你本机电脑hosts即可,详情参考上面的链接。

    这种本地验证好处:域名解析到WAF如果有问题,受影响只是你本机电脑的访问,其他人还是访问解析到服务器IP的域名地址。

     后面引入误拦截,为了不影响模拟攻击测试,我也是在本地验证基础上先测的:   浏览器入:{xxx测试域名}/alert(xss)

 

 

 二、WAF误拦截后加白处理     据说,阿里技术对于误拦截出现的问题是这样回答的:
一般代码没问题且不是恶意请求,开宽松规则,基本上不会拦截

  我当时试过,宽松规则以上(含宽松规则),对于xss模拟测试攻击的请求: {xxx测试域名}/alert(xss),都是会被阿里拦截的:

 

   如果对该IP开禁,需要在Web入侵防护添加白名单,前提:先获得被拦截的出口ip

 

   这里要注意的是,是从哪个位置添加白名单,所以,最好分清楚是属于Web入侵防护还是数据安全那块的。

 

标签:验证,WAF,域名,及误,本地,公网,拦截
来源: https://www.cnblogs.com/windysai/p/16513500.html