Black Hat USA 2012 大會揭露：Web 應用防火牆 (WAF) 普遍存在協議層繞過漏洞。Qualys 工程經理 Ivan Ristic (ModSecurity 創始人) 研發測試工具，證實 150+ 種規避技巧可繞過主流 WAF。

核心發現

• 惡意請求僅需修改 HTTP 標頭、URL 路徑編碼、大小寫變換、註釋插入等協議層特性，即可繞過 WAF 規則匹配。
• 這些技巧未被充分文檔化，導致 WAF 廠商反覆踩坑。
• Ristic 測試針對 ModSecurity，推論其他 WAF 同樣受影響；瑞士 Ergon 確認並修補自家產品同類漏洞。

行業行動呼籲

1. 建立公開 WAF 繞過技巧分類維基，促進知識共享。
2. 廠商與研究人員應記錄並公開發現，避免重複錯誤。
3. 測試工具公開可倒逼廠商修復，提升整體防禦基線。

WAF 非萬靈丹，協議層規避是系統性缺陷，需「WAF + RASP + 代碼審計 + 安全開發流程」多層次防禦。