HTTP下特定Payload的POST请求失败，HTTPS下可正常运行

核心原因推测 #

HTTP请求为明文传输，Payload会被服务器上的Web应用防火墙（WAF）或内核级入侵检测/防护工具拦截；而HTTPS请求内容加密，这类工具无法解析Payload，因此请求能正常到达后端。仅;ls触发拦截，大概率是某条规则精准匹配了这个字符串组合。

排查步骤 #

1. 检查mod_security（Apache自带WAF模块） #

• 确认模块是否启用：

  httpd -M | grep security
  

  返回security2_module (shared)则表示已启用。
• 查看mod_security审计日志，搜索请求特征：

  grep -i ";ls" /var/log/httpd/modsec_audit.log
  

  若找到拦截记录，日志中会显示对应规则ID，可临时禁用该规则测试，或调整规则匹配逻辑。

2. 检查SELinux状态 #

RHEL8默认启用SELinux，部分场景下会拦截可疑HTTP请求：

• 查看SELinux告警日志：

  grep -i httpd /var/log/audit/audit.log
  

  搜索是否存在与POST、payload相关的denied记录。
• 临时切换为宽容模式测试：

  setenforce 0
  

  若请求可正常执行，说明是SELinux规则导致，需调整httpd的SELinux策略。

3. 检查firewalld深层规则 #

firewalld默认不扫描Payload，但配置了转发规则或集成IPS/IDS模块时可能存在内容拦截：

• 查看当前firewalld规则：

  firewall-cmd --list-all
  firewall-cmd --list-rich-rules
  

  检查是否有针对HTTP（80端口）的内容过滤规则，或是nftables的应用层过滤配置。

4. 排查第三方安全工具 #

服务器可能部署了组织级安全代理或主机防护工具，它们会在请求到达Apache前拦截明文内容：

• 查看已安装的安全相关服务：

  systemctl list-unit-files | grep -i security
  

  联系运维团队确认是否存在全局Web流量过滤策略针对HTTP端口。

5. 验证Apache自定义配置 #

检查是否有自定义规则拦截特定字符串：

• 遍历Apache配置文件，搜索相关规则：

  grep -r ";ls" /etc/httpd/
  grep -r "prov_comm_notes" /etc/httpd/
  

临时验证方法 #

构造其他包含;ls的Payload（如<div>;ls</div>），或对ls变形（如l s、ls1）后发送请求，确认是否为精准匹配;ls字符串导致的拦截。

内容的提问来源于stack exchange，提问作者tczx3