AWS WAF筛选Web应用渗透测试方案及WAF日志利用方法问询

• 直接明确应用风险优先级：WAF内置的托管规则组（比如OWASP Top10防护、常见CVE利用防护）的触发记录，能直接告诉你当前应用最常被尝试的攻击类型，比如SQL注入规则触发频率最高，就优先安排SQL注入专项渗透测试，不需要盲目覆盖所有测试类型浪费资源。
• 快速梳理应用暴露面：WAF的流量统计能直接给出所有对外暴露的请求路径、请求方法、入站来源分布，不用手动爬站、扫端口就能拿到完整的业务接口清单，比如统计到存在对外的文件上传接口，就加设文件上传漏洞专项测试；存在用户登录、验证码接口，就加设暴力破解、验证码绕过专项测试。
• 同步当前防护短板：你在WAF中配置的自定义规则本身就能反映当前的防护侧重，比如你只做了账号维度的防暴力破解限制，没有做IP维度的频率控制，渗透测试就要针对性设计IP池绕过暴力破解的测试用例，验证防护逻辑的有效性。

• 第一步先做异常流量筛选：优先过滤出WAF返回动作是BLOCK和COUNT的日志，用CloudWatch Logs Insights的筛选语法fields @timestamp, httpRequest.uri, httpRequest.clientIp, ruleGroupList, action | filter action in ['BLOCK', 'COUNT'] | sort @timestamp desc就能快速提取所有可疑请求，排除正常业务流量的干扰。
• 第二步做攻击类型聚类：把筛选出的日志按触发的WAF规则分类统计，统计不同攻击类型的触发频次，占比最高的攻击类型就是渗透测试的优先复现方向，比如某段时间路径遍历攻击触发了300余次，就优先测试应用的文件下载、静态资源访问接口的路径遍历防护能力。
• 第三步做绕过特征分析：重点关注同类型攻击请求中，少数被WAF放通的请求，分析这类请求的Payload特征，比如是否用了大小写混淆、特殊字符编码、畸形参数拆分的方式绕过了WAF规则，直接把这类特征的Payload拿到渗透测试中复用，验证后端是否存在未被防护的真实漏洞。
• 第四步做业务逻辑风险定位：从日志中提取不符合正常业务逻辑的请求特征，比如同一个IP短时间内遍历不同用户ID的个人中心请求、重复提交同个订单的支付请求、高频访问忘记密码接口，对应安排水平越权、业务逻辑篡改、短信轰炸类的专项渗透测试。

内容的提问来源于stack exchange，提问作者Acire