前言：

WAF（Web Application Firewall）即网络应用防火墙，是一种专门为了保护网络应用（如网站和web服务）而设计的防火墙。它的主要任务是过滤、监控和阻止恶意的网络流量和攻击尝试，从而保护web应用免受各种在线威胁，例如SQL注入、跨站脚本（XSS）攻击、文件包含攻击和其它形式的攻击。

WAF的工作原理：

1. 流量监控与分析：WAF通过分析进出应用程序的HTTP流量来识别和阻止潜在的攻击。

2. 规则集：WAF使用一组预定义的、可配置的规则来识别和阻止潜在的攻击。这些规则可以是基于模式匹配的规则，用于检测常见的攻击特征，如SQL注入的特定数据库函数或XSS攻击中的脚本标签。

3. 黑名单与白名单：WAF可以设置黑名单来拒绝已知的攻击者或恶意IP地址，或者设置白名单来仅允许已知的安全流量。

4. 行为分析：高级的WAF可能还包括对用户和应用程序行为的学习和分析，以更智能地识别异常行为，这有助于检测到以前未知的零日攻击。

WAF的部署方式：

• 网络基础设施中的硬件或虚拟设备：部署在数据中心，直接在网络层面上提供保护。

• 主机上的软件：直接在运行web应用的服务器上安装。

• 云服务：作为服务提供，由第三方维护，易于扩展，通常以订阅模式提供。

WAF是网络安全策略中的重要组成部分，帮助组织在日益增长的网络威胁环境中保护其资产。

我给大家准备了一份全套的《网络安全入门+进阶学习资源包》包含各种常用工具和黑客技术电子书以及视频教程，需要的小伙伴可以扫描下方二维码或链接免费领取~

绕过

基本编码绕过：

使用加号（+）替换空格尝试绕过基于空格的过滤规则。

SELECT+user+FROM mysql.user LIMIT 1;

SELECT+user FROM mysql.user LIMIT 1;

解释：

在MySQL中，+号被识别为算术运算符，用于加法操作。它并不用作连接符或空格替代符，因此在SQL查询中使用+号以期待它充当空格通常不是有效的做法。这也解释了为什么在某些情况下加号似乎被忽略，而在其他情况下则导致语法错误。

例如，当你尝试执行：

SELECT+user+FROM mysql.user LIMIT 1;

这里的SELECT+user可能由于解析器的某些灵活处理而被正确理解（即解析为SELECT user），尽管这并非标准SQL用法。然而，当+号被放置在FROM和其他部分之间时，它就显得格格不入，因为FROM后面通常需要跟表名，这里的+号打乱了这种结构，导致了解析失败。

标准的SQL语法不支持在关键字之间使用+号作为空格的替代。这种使用方式在不同的数据库系统和不同的解析器实现中可能会有不同的行为，而MySQL明确将其作为算术运算符处理。

使用 - 符号：

SELECT-user FROM mysql.user LIMIT 1;

使用 @ 符号

SELECT@user FROM mysql.user LIMIT 1;

使用 ！ 符号

SELECT!user FROM mysql.user LIMIT 1;

使用 ’ 符号

SELECT'user'FROM mysql.user LIMIT 1;

使用 " 符号

SELECT"user"FROM mysql.user LIMIT 1;

使用 ~ 符号

SELECT~user FROM mysql.user LIMIT 1;

使用 { 符号

SELECT '{' as bracket, user, '}' as bracket FROM mysql.user LIMIT 1;

使用 – 符号

SELECT user FROM mysql.user LIMIT 1 --;

SELECT user FROM -- 注释掉部分语句导致错误  
mysql.user LIMIT 1;

使用 /* 符号

SELECT/\*\*/user/\*\*/FROM mysql.user LIMIT 1;

使用SQL函数和转换

SELECT ASCII(SUBSTRING(user, 1, 1)) FROM mysql.user LIMIT 1;

这个命令通过获取user列的第一个字符的ASCII值，以不直接展示文本内容的形式返回数据。

大小写混合：

SeLeCt user fRoM mysql.user LiMiT 1;

改变SQL关键字的大小写，有些WAF可能只基于特定的大小写规则来检测。

使用二进制和十六进制表示:

SELECT user FROM mysql.user WHERE user = 0x61646D696E LIMIT 1;

这里0x61646D696E是admin的十六进制表示，可能绕过一些基于文本比对的WAF规则。

使用字符串拼接：

SELECT CONCAT('us','er') FROM mysql.user LIMIT 1;

使用CONCAT函数拼接字符串，避开直接的关键字使用。

我给大家准备了一份全套的《网络安全入门+进阶学习资源包》包含各种常用工具和黑客技术电子书以及视频教程，需要的小伙伴可以扫描下方二维码或链接免费领取~

使用替代函数和命令：

SELECT CHAR(117,115,101,114) FROM mysql.user LIMIT 1;

使用CHAR函数通过ASCII码来表示字符串，进一步尝试绕过基于文本匹配的规则。

利用数据库特有功能：

SELECT user FROM mysql.user WHERE user REGEXP '^z.\*' LIMIT 1;

使用REGEXP正则表达式匹配功能来进行复杂的模式匹配。

堆叠查询（如果支持）：

SELECT user FROM mysql.user; DROP TABLE test\_table;

这条命令尝试执行两个SQL语句，如果WAF没有正确配置，可能会执行第二个危险的命令。

使用CASE语句：

SELECT CASE WHEN (1=1) THEN user ELSE NULL END FROM mysql.user LIMIT 1;

通过CASE语句来动态决定输出，增加查询的复杂性，试图绕过简单的过滤规则。

其他一些方法可以用于绕过Web应用防火墙（WAF），这些方法包括但不限于：

1. HTTP请求欺骗：

   • 修改HTTP请求的头部，如User-Agent、Referer，或使用不寻常的HTTP方法（如PUT、DELETE等）来尝试绕过对GET和POST的严格检查。

2. 多字节字符编码：

   • 利用WAF可能不正确处理字符编码的问题，使用多字节或双字节字符（如UTF-8）编码攻击向量，尤其是在WAF处理字符边界时可能出现的编码错误。

3. 会话劫持：

   • 利用会话劫持技术来绕过基于用户身份验证状态的安全检查。

4. 内容类型混淆：

   • 改变请求中的Content-Type头部信息，如将其从application/x-www-form-urlencoded更改为multipart/form-data或其他不常见类型，以尝试混淆WAF对请求体内容的解析。

5. 路径遍历与文件包含：

   • 通过修改文件路径来访问或执行服务器上未授权的文件，这些技术尝试利用WAF对路径解析和文件访问权限的处理不当。

6. 逻辑漏洞利用：

   • 利用应用本身的逻辑漏洞，这些漏洞可能不直接触发WAF的规则，例如通过特定的应用程序功能或API绕过安全检查。

7. 加密和隧道技术：

   • 使用SSL/TLS加密或其他隧道技术来隐藏恶意流量，尽管这需要在客户端和服务器之间有一定的协调。

尽管存在诸如参数污染、分段传输等多种技术可以尝试绕过Web应用防火墙（WAF），但在实际环境中，这些方法面对配置严密的WAF时往往难以奏效。这种情况突显了深入了解WAF的工作原理、不断更新攻击策略、以及定期进行渗透测试的重要性。在对抗高级WAF的过程中，寻找系统配置中的边缘情况或漏洞可能比直接尝试绕过WAF更为有效。此外，应认识到即便WAF是一个强大的防御工具，也不存在完全无懈可击的系统。通过细致分析和创新思维，我们能够更好地理解和评估潜在安全漏洞，从而确保系统的全面安全。这种方法不仅有助于强化现有安全措施，也为未来可能的安全挑战提供了准备。

道高一尺，魔高一丈

sqlmap绕过过滤的 tamper 脚本分类汇总

ALL：

MSSQL：

我给大家准备了一份全套的《网络安全入门+进阶学习资源包》包含各种常用工具和黑客技术电子书以及视频教程，需要的小伙伴可以扫描下方二维码或链接免费领取~

MySQL：

Oracle：

PostgreSQL：

Microsoft Access：

其他：

总结

在当今网络安全的复杂环境中，Web应用防火墙（WAF）作为防御工具，提供了重要的第一道防线，旨在抵御各种在线威胁，如SQL注入和跨站脚本攻击。然而，攻击者也不断发展出新的技术来绕过这些防护，包括参数污染、分段传输、编码混淆等高级方法。

通过深入探讨WAF的工作原理和多种绕过技术，这篇文章不仅提供了技术层面的详细分析，还突显了对抗WAF的复杂性和挑战性。正如文中所述，面对配置良好的WAF，攻击者需依赖细致的分析和创造性的思维来识别潜在的安全漏洞。无懈可击的系统并不存在，然而，通过持续更新安全策略和进行渗透测试，能够有效地提升系统的安全性。

网络安全学习路线&学习资源

网络安全的知识多而杂，怎么科学合理安排？

下面给大家总结了一套适用于网安零基础的学习路线，应届生和转行人员都适用，学完保底6k！就算你底子差，如果能趁着网安良好的发展势头不断学习，日后跳槽大厂、拿到百万年薪也不是不可能！

初级网工

1、网络安全理论知识（2天）

①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（一周）

①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（一周）

①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（一周）

①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）

①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）

①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k

到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？

【“脚本小子”成长进阶资源领取】

7、脚本编程（初级/中级/高级）

在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.

零基础入门，建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习； 搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime； ·Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完； ·用Python编写漏洞的exp,然后写一个简单的网络爬虫； ·PHP基本语法学习并书写一个简单的博客系统； 熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)； ·了解Bootstrap的布局或者CSS。

8、超级网工

这部分内容对零基础的同学来说还比较遥远，就不展开细说了，贴一个大概的路线。感兴趣的童鞋可以研究一下，不懂得地方可以【点这里】加我耗油，跟我学习交流一下。

网络安全工程师企业级学习路线

如图片过大被平台压缩导致看不清的话，可以【点这里】加我耗油发给你，大家也可以一起学习交流一下。

一些我自己买的、其他平台白嫖不到的视频教程：

需要的话可以扫描下方卡片加我耗油发给你（都是无偿分享的），大家也可以一起学习交流一下。

结语

网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。

特别声明：

此教程为纯技术分享！本书的目的决不是为那些怀有不良动机的人提供及技术支持！也不承担因为技术被滥用所产生的连带责任！本书的目的在于最大限度地唤醒大家对网络安全的重视，并采取相应的安全措施，从而减少由网络安全而带来的经济损失！！！