防止绕过 Azure 应用网关 WAF 规则

Question

我们在 Azure API 管理（内部 VNET 模式）中托管的 REST API 只能通过 Azure 应用网关 (WAF v2 SKU) 从 Internet 访问，并在 WAF 中启用 OWASP CRS 3.1 规则。然而，有一个渗透测试观察表明，黑客可以通过调用 Content-Type 标头为“application/xml”的 POST API 来绕过 WAF 规则，但仍会在请求正文中发送恶意 JSON 负载。在这种情况下，WAF 不会拦截请求并且 API 返回 HTTP 200，这与 Content-Type 作为“application/json”发送的情况不同，WAF 会阻止相同的恶意负载，返回 403（禁止）。即使请求标头 Content-Type 标头为“application/xml”，是否有任何方法可以阻止 App Gateway/WAF 中的恶意 JSON 有效负载？或者这个验证，传入的请求是否有“application/json”以外的Content-Type，是否需要在API端进行处理？

Answer 1

如果严格来说是标题问题，您可以 create a custom rule 要么只允许 application/json 要么 只阻止 application/xml。

修改该页面中的示例，这将阻止任何不包含application/json：

{
    "customRules": [
      {
        "name": "requirejson",
        "ruleType": "MatchRule",
        "priority": 2,
        "action": "Block",
        "matchConditions": [
          {
            "matchVariable": "RequestHeaders",
            "Selector": "Content-Type",
            "Operator": "Contains",
            "NegationConditon": true,
            "matchValues": [
              "application/json"
            ]
          }
        ]
      }
    ]
  }

将否定条件设置为true 会将其从== 变为!= 规则，如if Content-Type does not contain application/json。尽管请记住这适用于“正确设置”的标头，但如果标头设置为仅包含匹配字符串的任何内容，则此规则仍允许进一步处理。

payload的完整解释是here。