凌晨两点十七分，进入我的进入手机屏幕亮起。不是进入闹钟，是进入WAF的告警推送——有人正用SQL注入尝试撬开我们客户的后台。攻击IP来自东欧某国，进入User-Agent伪装成Chrome 120，进入但HTTP头里藏着Python-requests的进入指纹。这种手法太粗糙了，进入像个拿着撬棍的进入毛贼。

我打开笔记本，进入咖啡杯沿还留着昨天的进入唇印。WAF控制台显示拦截率98.7%，进入剩下那1.3%被丢进了“可疑队列”等待人工研判。进入这数字看起来漂亮，进入但我知道它骗人。进入WAF本质上是个门卫，靠规则库识别坏人的脸。可真正的攻击者早就不跟你拼脸了——他们用分布式代理轮换IP，把payload拆成碎片塞进正常参数里，甚至直接加密流量让你无从下手。

上个月遇到个案例，攻击者用“multipart/form-data”边界混淆，把SQL语句藏在PNG图片的EXIF信息里。WAF的规则引擎盯着请求体看了半天，愣是没发现异常。最后还是我手动把图片下载下来，用十六进制编辑器扒开文件头才看到那句“DROP TABLE users”。

所以别迷信“下一代WAF”的AI能力。那些宣传说“自学习模型能识别未知攻击”的，基本都在吹牛。真正的WAF运维是场猫鼠游戏——你更新一条规则，对方明天就换种编码绕过。我手机里存着至少二十个绕过技巧的备忘录，每个都是凌晨加班换来的血泪教训。

但话说回来，WAF也不是没用。它至少挡掉了99%的脚本小子和扫描器，让真正的高手必须亲自动手。这就像给门上了十道锁，贼想进来得花时间撬锁、翻窗、挖地道——而这段时间足够你发现异常，把重要文件转移到保险柜。

最让我头疼的不是技术对抗，而是业务方的迷之操作。上周某部门把后台管理页面直接挂在公网，还用了弱口令“admin123”。WAF拦截日志里全是暴力破解尝试，业务负责人却说“不影响正常访问就别动”。我当场把日志甩他脸上——三天内超过两万次尝试，这哪是正常访问，这是拆迁队踩点。

凌晨四点半，攻击流量终于停了。我关掉监控面板，屏幕暗下去的瞬间，看到自己映在玻璃上的脸——黑眼圈快垂到嘴角。WAF这行当，拼的不是谁的技术更炫，而是谁更能熬。

喝掉最后一口凉咖啡，我点开“规则更新”页面，把刚才观察到的几种新绕过手法写成正则表达式。手指敲键盘的声音在空荡的办公室回响。

明天，那个东欧IP大概会换个马甲再来。而我，已经准备好新的规则等它入网。