长亭百川云

规则地址

规则库说明

国内IPv4地址段，不保证动态更新

不想看长文可以直接翻到最后看结论

经常有大哥反馈说雷池攻击日志里显示的 IP 有问题。

这里我来讲一下为什么一些情况下雷池显示的攻击 IP 会有问题。

问题说明

默认情况下，雷池会通过 HTTP 连接的 Socket 套接字读取客户端 IP。在雷池作为最外层网管设备的时候这没有问题，雷池获取到的 IP 就是攻击者的真实 IP。

但是，有些情况下我们需要在雷池前面再叠加其他代理设备（如 Nginx，CDN，应用交付，API 网管等等）。在这种情况下，实际连接雷池的不是真正的网站用户，而是这些代理设备，这种情况下我们就需要根据实际网络拓扑来调整雷池的 IP 获取方式。

先了解什么是 X-Forwarded-For

X-Forwarded-For 是一个相对通用的 HTTP 请求头。

HTTP 流量在经过代理时，由于网络连接被截胡，服务器无法得知真正的客户端 IP。这时代理设备会给当前的流量加上一个 X-Forwarded-For 头，里面的内容就是连接这个代理的客户端 IP。

下面这个例子中 HTTP 代理通过 X-Forwarded-For 头告诉服务器，真正的客户端地址是 1.2.3.4

1GET / HTTP/1.1
2Host: demo.waf-ce.chaitin.cn
3User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.106 Safari/537.36
4X-Forwarded-For: 1.2.3.4

X-Forwarded-For 实际上是一个链式结构。如果流量经过了多层代理设备，X-Forwarded-For 会记录途径的所有 IP。

下面这个例子中 HTTP 代理通过 X-Forwarded-For 头告诉服务器，流量经过了三层代理，真正的客户端地址是 1.2.3.4，第一层代理的是 11.12.13.14，第二层代理的地址是 21.22.23.24，第三次代理的地址可以通过 Socket 连接直接来获取。

1GET / HTTP/1.1
2Host: demo.waf-ce.chaitin.cn
3User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.106 Safari/537.36
4X-Forwarded-For: 1.2.3.4, 11.12.13.14, 21.22.23.24

IP-Forwarded-For 头靠谱么

在代理设备和代理链路可信的情况下 IP-Forwarded-For 头传递的内容是很靠谱的，可以放心的试用。

但是呢，如果代理设备不可信，那么攻击者会通过伪造 IP-Forwarded-For 头的办法来实现伪造源 IP。

雷池的配置

雷池全局配置里有一个这样的选项，专门用来解决这个问题。

雷池在这个配置里提供了几个选项，根据上面讲到的知识，大家可以根据实际情况来选择最适合的选项

• 从网络连接中获取: 当雷池作为最外层代理设备，无其他前置代理时选用
• 从 X-Forwarded-For 中获取上一级代理的地址：在流量到达雷池之前还有一层代理设备（如 Nginx，CDN 等）时可选用
• 从 X-Forwarded-For 中获取上上一级代理的地址：在流量到达雷池之前还有两层代理设备（如 Nginx，CDN 等）时可选用
• 从 X-Forwarded-For 中获取上上上一级代理的地址：在流量到达雷池之前还有三层代理设备（如 Nginx，CDN 等）时可选用
• 从其他 HTTP Header 中获取：有几种情况
  • 流量经过了一些特殊的反向代理设备，这类代理不会发送 X-Forwarded-For 头，但是可以通过配置，把 IP 通过其他头发过来
  • 流量到达雷池有多种途径，可能有一层代理，也可能有两层代理，可以通过配置前置代理设备来统一 HTTP 头

更新方式

参考文档 更新雷池
需要注意
凡是从版本9.2.7之前升级的用户需要仔细阅读9.2.7的版本公告，手动迁移部分nginx配置
雷池 WAF 9.2.7 版本更新公告

更新内容

优化

• 调整 syslog 外发攻击日志的内容，本次更新不再外发 Body 字段
  • 优化部分超长 syslog 字段外发被截断情况
• 黑白名单检测日志列表优化：增加【规则名称】字段
  

更新方式

参考文档 更新雷池
需要注意
凡是从版本9.2.7之前升级的用户需要仔细阅读9.2.7的版本公告，手动迁移部分nginx配置
雷池 WAF 9.2.7 版本更新公告

更新内容

新增功能

• 源 IP 获取新增 XFF 自定义提取模式
  在原有 XFF 固定层级（如取上一级/上上一级代理）获取的基础上，新增更灵活的自定义提取方式。
  配置增强：支持手动指定提取方向（从左往右 / 从右往左）及具体的 IP 序号，以满足复杂代理链路下的真实 IP 获取需求。
  
• WAF 应用级路径转发
  新增基于 URL Path 前缀的转发规则。支持在应用内部，根据不同的路径前缀将请求路由至指定的上游服务器列表。
  注：该功能用于多源站回源场景，非通用负载均衡。
  

体验优化

• 自定义拦截页预览渲染
  优化了“通用设置 -> 防护配置 -> 拦截页面”的编辑体验。
  所见即所得：预览模式现已支持实时渲染 HTML 代码，不再仅展示只读文本，方便用户直观查看拦截页的最终展示效果。
  

更新方式

参考文档 更新雷池
需要注意
凡是从版本9.2.7之前升级的用户需要仔细阅读9.2.7的版本公告，手动迁移部分nginx配置
雷池 WAF 9.2.7 版本更新公告

更新内容

新增检测

新增漏洞/规则支持

在此版本中，我们重点增强了对特定框架漏洞、NoSQL 注入以及部分协议的支持，扩展了检测覆盖面。

• 新增漏洞检测规则：
  • JeecgBoot 系列：
    • 支持 JeecgBoot v3.5.1 SQL注入漏洞
    • 支持 JeecgBoot v3.5.4 SQL注入漏洞
  • ThinkPHP 系列：
    • 支持 ThinkPHP5 远程代码执行漏洞-path
    • 支持 ThinkPHP Debug模式日志信息泄露漏洞
  • Vite 系列：
    • 支持 Vite 任意文件读取漏洞 (CVE-2025-30208)
    • 支持 Vite 任意文件读取漏洞 (CVE-2025-31125)
  • MongoDB NoSQL 注入：
    • 支持 MongoDB NoSQL 注入-query 检测
    • 支持 MongoDB NoSQL 注入-form 检测
    • 支持 MongoDB NoSQL 注入-json key 检测
  • 其他应用漏洞：
    • 支持 Gitlab 任意文件读取漏洞 (CVE-2020-10977)
    • 支持 Pulse Secure SSL VPN 命令注入漏洞 (CVE-2019-11539)
    • 支持 Raspap 命令注入漏洞 (CVE-2022-39986)
    • 支持 多款 TP-Link 产品操作系统命令注入漏洞 (CVE-2020-12109)
    • 支持 Shiro 权限绕过 检测
• 协议与通用检测支持：
  • 新增 file 协议调用 检测支持
  • 新增 SQL 内置函数 识别与检测

检测优化

核心检测逻辑优化

对检测引擎进行深度优化，提升了对各类注入攻击和异常流量的识别准确率。

• 注入攻击检测逻辑升级：
  • SQL 注入： 持续优化 SQL 注入检测逻辑。
  • 命令注入： 深度优化命令注入检测逻辑。
  • 代码注入： 全面优化 Java、PHP、ASP 代码注入检测逻辑。
  • XSS & SSRF： 优化 XSS（跨站脚本）及 SSRF（服务端请求伪造）检测逻辑。
  • 反序列化： 优化 Java 反序列化检测逻辑。
• 流量与协议解析优化：
  • HTTP 协议： 优化 HTTP 协议解析逻辑，提升解析稳定性。
  • 文件上传：
    • 优化文件上传检测逻辑。
    • 优化禁止上传内容与扩展名不一致的文件逻辑。
    • 优化文件上传检测模块配置项解析逻辑。
  • 响应检测： 优化服务器响应检测模块的检测逻辑。
  • 解码逻辑： 优化 Hex 解码逻辑。
• 日志与运营优化：
  • 优化文件上传攻击检测模块、机器人检测模块日志中 Payload 详情的展示逻辑。

现有规则优化

针对已有的检测规则进行了微调和增强，以减少误报并提高针对特定 CVE 的检出率。

• Web 框架与组件规则：
  • 优化 Spring 框架漏洞 检测规则
  • 优化 [HW2020] Spring Data Rest RCE (CVE-2017-8046) 检测规则
  • 优化 Jeecg-boot v2.1.2-v3.0.0 后台未授权 SQL 注入漏洞 检测规则
  • 优化 XStream 反序列化漏洞 检测规则
• 通用漏洞规则：
  • 优化 Java 代码注入 检测规则
  • 优化 可疑远程调用协议 及 jdbc 协议调用 检测规则
  • 优化 深层路径穿越攻击 检测规则
  • 优化 XML 实体注入漏洞 (UTF-7) 检测规则
  • 优化 LDAP 注入 检测规则
  • 优化 MongoDB NoSQL 注入 相关规则（query/form/json key）
• 敏感信息与访问控制：
  • 优化 访问敏感文件的请求 检测规则
  • 优化 低危的命令执行 检测规则
  • 优化 多款路由器命令操作系统命令注入漏洞 (CVE-2019-3929) 检测规则

问题修复

• 故障处理： 修复了部分场景下，响应检测模块可能会导致检测异常的问题。
• 稳定性修复： 修复特定高并发或特殊场景下可能引发的内存问题。

规则地址

规则库说明

从付费版的宝塔WAF导出来的黑名单IP,一直更新