如何在AWS WAF匹配规则中正确使用MD5文本转换？

当规则使用MD5文本转换时，匹配字符串需要填入原始MD5二进制哈希值的Base64编码结果，以下是具体说明和验证步骤：

正确生成匹配值的步骤 #

以你测试的matchme为例，执行以下命令生成符合要求的Base64编码值：

echo -n matchme | openssl dgst -md5 -binary | base64

得到的结果AzslmCj2PbakArwWLIA+8A==就是需要填入的匹配字符串。

排查你之前尝试失败的原因 #

• 十六进制摘要不适用：AWS WAF的MD5转换输出是原始二进制字节，而十六进制是二进制的文本化表示，两者字节序列完全不同，无法匹配。
• 原始文本不会自动哈希：WAF仅对请求中的目标字段（如你测试的请求头）执行MD5转换，不会对填入的匹配字符串做哈希处理，因此填原始文本必然不生效。
• Base64填充需完整：部分工具生成的Base64会省略末尾的=填充，但AWS WAF要求完整的Base64编码（包含填充），需确保使用带填充的结果。

验证配置的步骤 #

1. 配置Byte Match规则，将文本转换选项设置为MD5
2. 在匹配字符串输入框中填入生成的AzslmCj2PbakArwWLIA+8A==
3. 执行测试请求：

curl -H 'header-name: matchme' http://my-load-balancer.us-east-2.elb.amazonaws.com

此时规则应能成功命中该请求。

内容的提问来源于stack exchange，提问作者Daniel Rocco