网站有waf怎么渗透测试

如果网站存在WAF可以绕过WAF来继续进行渗透测试，如果客户不允许进行绕过WAF，可以让客户把你渗透测试所用的设备加入白名单从而可以继续进行渗透测试。一般如果网站存在waf会通过技术手段进行绕过，这样即可以检测waf的安全防护能力又能对网站进行渗透测试，但是在绕过waf时不能使用暴力手段影响服务器的正常运行，绕过waf时需要和服务器管理员联系。

常见的waf绕过技巧有以下这些：

• pipline绕过：pipline绕过利用了HTTP的管道化技术，HTTP遵循请求响应模型，发起A请求，目标返回A请求的响应，当然，WAF也是如此。利用这个原理使用管道化连接可以在发起请求的同时发送多个HTTP请求，如果WAF只判断第一个请求，那么就能成功绕过WAF。

• 分块传输绕过：分块传输编码是超文本传输协议（HTTP）中的一种数据传输机制，允许HTTP由网页服务器发送给客户端应用（通常是网页浏览器）的数据分成多个部分。分块传输编码只在HTTP协议1.1版本（HTTP/1.1）中提供。分块传输绕过利用了HTTP分块传输编码的特性，将传输的查询语句分块，从而绕过WAF的检查。

• HTTP协议覆盖绕过：HTTP协议覆盖绕过通过更换Content-Type的类型来绕过WAF的检测，目前很多WAF对Content-type的类型进行首要的检测，WAF在对Content-type进行检查时，对“multipart/form-data”协议的检测比较少或者把它当作文件上传进行检查，所以我们利用这一特性对WAF进行绕过。