Azure应用程序网关WAF阻止常见的ASP.Net核心请求

Question

我已经Azure Application Gateway + WAF在Azure WebApp上运行的ASP.Net Core应用程序的前面配置了一个。我OWASP 3.0在“预防”模式下并在其中设置了默认规则。

我的问题是，通过WAF的每个请求都以一种或另一种方式失败，并且某些默认规则集返回403 - Forbidden status。

通过WAF日志，我发现很少有规则失败。

1. 已识别的SQL十六进制编码

   {
       "message": "Warning. Pattern match \"(?i:(?:\\\\A|[^\\\\d])0x[a-f\\\\d]{3,}[a-f\\\\d]*)+\" at REQUEST_COOKIES:ASP.Net_Auth.",
       "data": "Matched Data: H0XAa4 found within REQUEST_COOKIES:AspNetCore.Auth: CfDJ8El_2vmJILFHjQYUCDWwttioV16BAlL12KiQnTLGZztGtA8P0xbo1MosAgmrkUk4IQ7pF5O4ZMJbmRHsHxYHq842rq_hr8FUyMhAMo_5mQ-C_5jBrkRWqUGrYHMa6fVIj4xtGOfku...",
   }
   

2. 检测到SQL注释序列

   "message": "SQL Comment Sequence Detected.",
   "details": {
           "message": "Warning. Pattern match \"(/\\\\*!?|\\\\*/|[';]--|--[\\\\s\\\\r\\\\n\\\\v\\\\f]|(?:--[^-]*?-)|([^\\\\-&])#.*?[\\\\s\\\\r\\\\n\\\\v\\\\f]|;?\\\\x00)\" at REQUEST_COOKIES:.AspNetCore.Identity.Application.",
           "data": "Matched Data: --Z35d...- found within REQUEST_COOKIES:.AspNetCore.Identity.Application: CfDJ8El_2vmJILFHjQYUCDWwttihjUTpJneEVE1l-3UeTx...",
           "file": "rules/REQUEST-942-APPLICATION-ATTACK-SQLI.conf",
           "line": "1053"
   }
   

3. 超出PCRE限制

   {
       "requestUri": "/api/ping?_=240477821",
       "message": "Execution error - PCRE limits exceeded (-8): (null)."
   }
   

网址/ api / ping除了200 OK之外没有其他返回值。

我找不到有关这些规则以及何时以及应启用/禁用哪些规则的良好文档。我敢肯定我可以禁用它们，但在我看来WAF非常激进，并且收到了太多的误报。

是否存在一组默认的规则，这些规则良好且安全，并且默认情况下与ASP.Net Core应用程序兼容？

Answer 1

OWASP 3.0 根据每条规则获得的分数总和进行工作。单个请求将由一组规则处理，每个规则都会为请求添加一个分数，最后，如果分数超过限制，则该请求将被阻止。

对于您的情况，您可以在此处阅读规则定义并检查每个规则为特定请求添加的分数是多少。

最后一条规则 PCRE 限制是强制规则，由于其他规则集的请求得分而无法禁用该规则。因此，您需要跟踪其他规则集并禁用或创建排除项以使您的网站正常运行。