阿里云WAF本地验证及误拦截处理
周五做的实验。WAF本地验证是基于我的好奇心(因为一开始看帮助文档有点懵逼,还瞎问人家),不搞清楚有点郁闷;
另一个误拦截处理,是源于天翼WAF对于误拦截,我们自己是无法在控制台开起来的,只能反馈让他们后台处理,非常被动。而阿里的WAF说我们能自己操作,我特意去验证下是不是真的 = =(骗我不重要,骗了老板就呵呵哒)
一、WAF本地验证
参考:https://help.aliyun.com/document_detail/45267.html
我觉得,这个文档里面没有说清楚为什么需要这个本地验证,倒是前一篇使用教程稍微提了下【https://help.aliyun.com/document_detail/162902.html】
基于我的实验测试和个人理解,特意总结下(如果有啥不妥,欢迎读者指出 ^_^)
为什么需要WAF本地验证?
如果有配置过WAF,都知道防护域名Cname解析到WAF之前,通常是一个A记录解析到公网ip的服务器上。假设根域名为:haha.cn,
ping 这个test1.haha.cn,应该返回的是服务器公网ip。
当真正需要解析到WAF时,需要删除这个A记录,取而代之是CNAME:
WAF本地验证,就是基于域名还是指向服务器公网IP的A记录,但由于你本人在自己本地电脑强制写hosts,当你本人浏览器访问域名的时候,实际域名是指向将要配置的WAF解析的IP(有点拗口)
请看下图,登录WAF控制台后,
(1)网站接入添加域名:
点击下一步,会有个“复制WAF提供的CNAME地址”
ping这个WAF提供的CNAME地址会返回WAF的公网地址,把这个地址跟你添加的防护域名写到你本机电脑hosts即可,详情参考上面的链接。
这种本地验证好处:域名解析到WAF如果有问题,受影响只是你本机电脑的访问,其他人还是访问解析到服务器IP的域名地址。
后面引入误拦截,为了不影响模拟攻击测试,我也是在本地验证基础上先测的:
浏览器入:{xxx测试域名}/alert(xss)
二、WAF误拦截后加白处理
据说,阿里技术对于误拦截出现的问题是这样回答的:
一般代码没问题且不是恶意请求,开宽松规则,基本上不会拦截
我当时试过,宽松规则以上(含宽松规则),对于xss模拟测试攻击的请求: {xxx测试域名}/alert(xss),都是会被阿里拦截的:
如果对该IP开禁,需要在Web入侵防护添加白名单,前提:先获得被拦截的出口ip
这里要注意的是,是从哪个位置添加白名单,所以,最好分清楚是属于Web入侵防护还是数据安全那块的。
原创文章,作者:6024010,如若转载,请注明出处:https://blog.ytso.com/tech/pnotes/276534.html