複選題

40. 資安測試團隊嘗試繞過前端 WAF 時，下列哪些方式最 「不」可能達成目的(成功率最低)？
(A) 使用編碼(Encoding)技巧，如 URL Encoding 或 Unicode，透過不同的編碼方式 來混淆攻擊 Payload，讓 WAF 無法正確偵測
(B) 透過多個 Proxy 或 VPN 變換 IP 位址，讓 WAF 以為是不同的來源，就不會對 SQL 注入語法進行阻擋
(C) 透過刻意修改 Payload 中的關鍵字或語法，避開 WAF 黑名單規則，例如將 SQL 注入語法裡面的 or 改用 ||
(D) 使用 ARP 欺騙(ARP Spoofing)進行網路封包攔截，直接竄改封包內容即可繞過 WAF

答案：登入後查看
統計： A(1), B(10), C(4), D(9), E(0) #3871615

詳解 (共 1 筆)

#7367513

這是一題關於 Web 應用程式防火牆 (WAF) 繞過技術與網路基礎架構的觀念題。

正確答案：(B)、(D)

選項原因詳細說明：

(A) 使用編碼 (Encoding) 技巧：可能達成（常見手法）

  • 原因： WAF 的核心邏輯是比對封包內容是否符合攻擊特徵（Signature）。如果 WAF 的解碼能力不足，攻擊者可以將攻擊語法轉換成 URL 編碼、Base64 或 Unicode。例如，將 <script> 變成 %3Cscript%3E，若 WAF 沒先進行正規化解碼就直接比對，就可能漏失該攻擊。這雖然不保證成功（現代 WAF 多具備解碼功能），但仍是標準的繞過測試方法。

(B) 透過多個 Proxy 或 VPN 變換 IP 位址：最不可能達成（成功率極低）

  • 原因： 變換 IP 位址主要用於對抗「頻率限制」（Rate Limiting）或「黑名單阻擋」。但 WAF 的主要功能是深度封包檢測 (DPI)，它檢查的是內容（Payload）而非來源 IP。即便你換了 100 個 IP，只要你的請求中包含惡意的 SQL 注入語法，WAF 依然會根據規則阻擋該內容。因此，這對於「繞過檢測邏輯」幾乎沒有幫助。

(C) 透過刻意修改關鍵字或語法：可能達成（常見手法）

  • 原因： 許多 WAF 是基於「黑名單」規則運作。如果規則設定不嚴謹，只針對 OR 字串做過濾，攻擊者可以改用 || 或變換大小寫（如 oR），甚至利用特定資料庫的語法特性（如註解符號 //）來拆分關鍵字。這是測試 WAF 規則完整性的重要方式。

(D) 使用 ARP 欺騙 (ARP Spoofing)：最不可能達成（成功率極低 / 情境不符）

  • 原因： ARP 欺騙屬於區域網路 (Layer 2) 的攻擊，目的是在內網中進行中間人攻擊 (MITM) 攔截封包。然而，WAF 通常部署在網站的前端或雲端節點，是用來過濾 應用層 (Layer 7) 的 HTTP/HTTPS 流量。ARP 欺騙無法幫助攻擊者「隱匿」攻擊語法，且通常攻擊者與 WAF 之間隔著網際網路，根本無法進行 ARP 欺騙。此外，竄改封包內容如果還是包含攻擊語法，一樣會被 WAF 擋掉。

總結：

  • 選項 (A) 與 (C) 針對的是 WAF 的檢測邏輯與正規化機制，是資安團隊常用的測試手段。

  • 選項 (B) 僅改變來源身分，無法改變攻擊內容。

  • 選項 (D) 屬於不同層級的網路攻擊，且與繞過應用層防護邏輯無關。

0
0