WAF 绕过笔记和部署雷池的记录都从我自己服务器出发，这篇是旧版本绕过实战 + 一次真实的云告警攻防案例。
0x01 版本时间差：旧版本绕过的价值
用雷池 9.2.7 做差异化绕过测试，结论：
- 最新版修复了全部已知绕过，但旧版本在真实环境大量存活：2025 年 12 月和 2026 年 3 月的版本都有类似漏洞——攻击者吃的就是时间差；
- 所有版本管理界面配置项完全一致（含上游代理设置），“见过新版配置”不等于知道目标跑哪版——打之前先指纹版本；
0x02 架构性原则：流量必须过雷池
流量必须真的经过雷池处理，WAF 才存在。
反向代理下必须把流量正确映射（如 190 端口转发到 waf.local 一类的上游配置），否则流量直接流向宝塔等源站——雷池形同虚设。这是所有旁路/反代型 WAF 的共同命门：
- 防守自查：在 WAF 上看实时请求日志，确认”你以为的流量”真的进了日志；
- 攻击视角：先测”流量是否真的过 WAF”——直接打源站 IP / 非标准端口，很多部署直接裸奔。
0x03 一次云告警攻防案例的观察
在目标系统上传后门
→ 腾讯云告警触发（云厂商基线检测生效）
→ 管理员响应：用旧文件"覆盖"了后门文件 —— 没有删干净
→ 管理员后续加固：买 800 元/年的腾讯主机威胁检测 + 宝塔免费 Nginx 防火墙
→ 攻方评估：低价主机检测容易被绕过，免费 Nginx 防火墙规则有限三层教训：
防守侧：
- 告警后的清除必须全盘排查同类落点（见应急响应篇的 grep/find 流程），“覆盖原文件”不等于清除——马还在备份、别处或计划任务里；
- 800 元/年的检测产品 + 免费防火墙不够，但聊胜于无——至少告警让管理员知道了入侵；
攻击侧：
- 云厂商告警是第一响应源，上传动作被捕获后窗口期极短——动作要快、落地要散；
- 从加固动作能判断对手水平：买低价产品+装免费防火墙，说明技术能力有限。
0x04 小结
WAF 绕过吃版本时间差，部署看流量路径，告警响应拼排查彻底度。