图2.1.2 检查注释符是否能被WAF识别

2.2 注释歧义问题

图2.2.1 通过/**/来绕过XSS检测

图2.2.2 通过/**/来绕过webshell内容检测

2.3 注释伪造问题

表2.3.1 多重注释导致的WAF识别错误

图2.3.2 通过伪造注释绕过WAF

图2.3.3 通过构造不存在参数带入/**/绕过WAF

2.4 内联注释问题

表2.4.1 内联注释的使用方式

图2.4.1 两种内联注释均能被WAF识别并拦截

图2.4.2 绕过WAF的内联注释数字

3、总结

1） 把所有的不可见字符替换为空格

2） 把百分号%替换为空（兼容mssql+asp的场景）

3） 把上传文件的内容替换为空（上传文件较大，部分WAF为了提高效率，会在正则之前先把上传文件的内容替换为空）

只要是WAF进行了操作，那么就可能会有被利用的空间，我们站在WAF设计的角度来分析WAF可能出现的安全性问题，就会发现其实可利用的点还有很多。