渗透cloudflare

Cloudflare的渗透WAF规则集里有一条默认逻辑：同一IP在60秒内触发5次403，就进小黑屋。渗透这个阈值我背得比自家门锁密码还熟。渗透去年帮朋友测一个电商站，渗透他们刚上Cloudflare，渗透我随手发了几个带单引号的渗透请求，第五次的渗透时候页面直接跳了验证码。朋友在微信那头喊：“你把我站打挂了？渗透”我说没，是渗透Cloudflare觉得我像坏人。

渗透Cloudflare这事，渗透得先分清你面对的渗透是哪一层。最外层是渗透Anycast网络，全球三百多个节点，渗透你连上去的渗透那个IP可能同时代表洛杉矶和法兰克福。想从网络层绕过去，渗透基本等于跟整个AS13335对着干。真正能动手的是应用层——WAF规则、速率限制、Bot管理、Turnstile验证码，这些才是配置出来的东西。配置就有缝隙。

我见过最离谱的配置是一个API网关。管理员在Cloudflare上设了规则：http.request.uri.path contains "/admin"就拦截。结果后端用的是Spring Boot，默认忽略路径里的分号。请求/admin;.css直接穿透，WAF当它是静态资源放行，后端把分号后面当矩阵参数切掉，照样进管理后台。这种案例在Cloudflare的社区论坛里一抓一把，官方文档其实提过路径规范化的问题，但配规则的人不看。

速率限制的绕过更简单。Cloudflare默认按IP计数，但CF-Connecting-IP这个头在某些配置下会被信任。如果你的源站直接暴露，攻击者伪造这个头，每个请求都换一个IP，速率限制就成了摆设。我试过一个站，把CF-Connecting-IP改成随机值，连发两百个请求，Cloudflare那边显示的是两百个不同IP，一个都没拦。当然前提是源站没锁死只允许Cloudflare回源，很多小站图省事，源站IP直接在DNS历史记录里躺着。

Turnstile验证码也有软肋。它的token是一次性的，但有些实现把验证逻辑放在前端。你抓一个有效token，在它过期前重复提交，后端如果只检查token格式不校验使用次数，就能批量过。我见过一个抢购脚本就这么干的，token池子循环用，Cloudflare的挑战页面成了摆设。官方后来加了nonce机制，但老代码没更新的站照样中招。

说回那个电商站。我后来用/admin;.css试了一下，还真进去了。朋友吓得连夜改Nginx配置，把分号路径全拒了。Cloudflare的WAF不是墙，是筛子——孔的大小取决于你怎么编规则。默认规则拦脚本小子够用，遇到懂路径解析差异的人，该漏还是漏。

渗透Cloudflare的本质是找配置和实现之间的语义差。WAF看的是字符串，后端看的是解析后的路径；Cloudflare数的是IP，源站信的是请求头。这些缝隙不补，再贵的套餐也白搭。我现在的习惯是每配一条规则，先拿; %2f .. 这些字符各试一遍，比看文档管用。

很赞哦!（177）