Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
应用程序网关 Web 应用程序防火墙（WAF）中的 Azure 托管的默认规则集（DRS）会主动保护 Web 应用程序免受常见漏洞和攻击的攻击。 这些规则集由 Azure 管理，根据需要接收更新，以针对新的攻击特征进行安全防护。 默认规则集还包含 Microsoft 威胁情报收集规则。 Microsoft 情报团队协作编写这些规则，确保增强覆盖范围，针对特定漏洞进行修补，并改进误报率。
你可以单独禁用各个规则，也可以为每个规则设置特定操作。 本文包含当前可用的规则和规则集。 如果已发布的规则集需要更新，我们将在此处记录它。
注意
在 WAF 策略中更改规则集版本时，应传递现有的规则动作和状态覆盖及排除规则，以使其应用于新的规则集版本。 有关详细信息，请参阅 升级或更改规则集版本。
默认规则集 2.2
默认规则集 （DRS） 2.2 基于 Open Web Application Security Project （OWASP） 核心规则集 3.3.4，对现有检测和新保护进行了优化，包括检测在实际内容类型标头之外声明的内容类型的规则以及增强的远程代码执行 （RCE） 检测。 DRS 2.2 包括由Microsoft威胁情报团队开发的附加专有保护规则，这些规则扩展了 SQL 注入、XSS 和应用程序安全攻击模式的覆盖范围。
DRS 2.2 提供新的引擎和新规则集，用于抵御 Java 注入、初始文件上传检查集，与较旧的 DRS 和 CRS 版本相比，误报更少。 还可以根据需求自定义规则。 详细了解新的 Azure WAF 引擎。
DRS 2.2 包括 18 个规则组，如下表所示。 每个组包含多个规则，你可以自定义各个规则、规则组或整个规则集的行为。
| 威胁类型 | 规则组名称 |
|---|---|
| 常规 | 常规 |
| 锁定方法（PUT、PATCH） | METHOD-ENFORCEMENT |
| 协议和编码问题 | 协议执行 |
| 标头注入、请求走私和响应拆分 | 协议攻击 |
| 文件和路径攻击 | LFI |
| 远程文件包含 (RFI) 攻击 | RFI |
| 远程代码执行攻击 | RCE |
| PHP 注入攻击 | PHP |
| Node JS 攻击 | NodeJS |
| 跨站点脚本攻击 | XSS |
| SQL 注入攻击 | SQLI |
| 会话固定攻击 | SESSION-FIXATION |
| JAVA 攻击 | SESSION-JAVA |
| 网络黑客脚本攻击（微软） | MS-ThreatIntel-WebShells |
| AppSec 攻击 （MS） | MS-ThreatIntel-AppSec |
| SQL 注入攻击 （MS） | MS-ThreatIntel-SQLI |
| CVE 攻击 (MS) | MS-ThreatIntel-CVEs |
| XSS 攻击 （MS） | MS-ThreatIntel-CVEs |
禁用的规则
默认情况下禁用在 Paranoia 级别 2 中配置的 DRS 2.2 规则。 如果您希望将 WAF 策略保持在偏执级别 1 配置，可以将其状态保留为禁用。 如果想要提高策略的偏执狂级别，可以安全地将这些规则的状态更改为启用，并将其操作更改为日志模式。 分析日志，进行所需的微调，并相应地启用规则。 有关详细信息，请参阅 [#paranoia-level](偏执级别) 和 [#tuning-of-managed-rule-sets](托管规则集的调整)
某些 OWASP 规则被 Microsoft 编写的替代品取代。 默认情况下禁用原始规则，其说明以“（替换为 ...）”结尾。
默认规则集 2.1
虽然仍可以使用默认规则集 （DRS） 2.1，但建议使用最新版本的 DRS 2.2。
默认规则集 （DRS） 2.1 基于 Open Web Application Security Project （OWASP） 核心规则集 （CRS） 3.3.2 基线，并包括由Microsoft威胁情报团队开发的附加专有保护规则，以及签名更新以减少误报。 它还支持 URL 解码以外的转换。
DRS 2.1 提供新的引擎和新规则集，用于抵御 Java 注入、初始文件上传检查集，与 CRS 版本相比，误报更少。 还可以根据需求自定义规则。 详细了解新的 Azure WAF 引擎。
DRS 2.1 包括下表中所示的 17 个规则组。 每个组包含多个规则，你可以自定义各个规则、规则组或整个规则集的行为。
| 威胁类型 | 规则组名称 |
|---|---|
| 常规 | 常规 |
| 锁定方法（PUT、PATCH） | METHOD-ENFORCEMENT |
| 协议和编码问题 | 协议执行 |
| 标头注入、请求走私和响应拆分 | 协议攻击 |
| 文件和路径攻击 | LFI |
| 远程文件包含 (RFI) 攻击 | RFI |
| 远程代码执行攻击 | RCE |
| PHP 注入攻击 | PHP |
| Node JS 攻击 | NodeJS |
| 跨站点脚本攻击 | XSS |
| SQL 注入攻击 | SQLI |
| 会话固定攻击 | SESSION-FIXATION |
| JAVA 攻击 | SESSION-JAVA |
| 网络黑客脚本攻击（微软） | MS-ThreatIntel-WebShells |
| AppSec 攻击 （MS） | MS-ThreatIntel-AppSec |
| SQL 注入攻击 （MS） | MS-ThreatIntel-SQLI |
| CVE 攻击 (MS) | MS-ThreatIntel-CVEs |
DRS 2.1 的微调指南
在应用程序网关 WAF 上开始使用 DRS 2.1 时，请使用以下指南来优化 WAF：
| 规则 ID | 规则组 | 说明 | 建议 |
|---|---|---|---|
| 942110 | SQLI | SQL 注入攻击：检测到常用注入测试 | 禁用规则 942110，替换为 MSTIC 规则99031001 |
| 942150 | SQLI | SQL 注入攻击 | 禁用规则 942150，替换为 MSTIC 规则99031003 |
| 942260 | SQLI | 检测到基本 SQL 身份验证绕过尝试 2/3 | 禁用规则 942260，替换为 MSTIC 规则99031004 |
| 942430 | SQLI | 受限 SQL 字符异常情况检测 (args)：已超出特殊字符数 (12) | 禁用规则 942430，它会触发太多误报 |
| 942440 | SQLI | 检测到 SQL 注释序列 | 禁用规则 942440，替换为 MSTIC 规则99031002 |
| 99005006 | MS-ThreatIntel-WebShells | Spring4Shell 交互尝试 | 保持启用规则以防止 SpringShell 漏洞 |
| 99001014 | MS-ThreatIntel-CVEs | 尝试使用 Spring Cloud 路由表达式注入 CVE-2022-22963 | 保持启用规则以防止 SpringShell 漏洞 |
| 99001015 | MS-ThreatIntel-CVEs | 尝试利用 Spring Framework 不安全类对象 CVE-2022-22965 | 保持启用规则以防止 SpringShell 漏洞 |
| 99001016 | MS-ThreatIntel-CVEs | 尝试进行 Spring Cloud Gateway Actuator 执行器注入 CVE-2022-22947 | 保持启用规则以防止 SpringShell 漏洞 |
| 99001017 | MS-ThreatIntel-CVEs | 尝试利用 Apache Struts 文件上传 CVE-2023-50164 | 将操作设置为“阻止”可防止 Apache Struts 漏洞。 此规则不支持异常分数 |
核心规则集（CRS）- 旧版
建议使用的托管规则集是最新的默认规则集 2.2，它基于 Open Web Application Security Project（OWASP）核心规则集（CRS）3.3.4，并包括由 Microsoft 威胁情报团队开发的其他专有保护规则，以及为了减少误报而进行的签名更新。 创建新的 WAF 策略时，应使用最新的推荐规则集版本 DRS 2.2。 如果使用 DRS 2.1、CRS 3.2 或 CRS 3.1 的现有 WAF 策略，建议升级到 DRS 2.2。 有关详细信息，请参阅 升级 CRS 或 DRS 规则集版本。
注意
CRS 3.2 仅在 WAF_v2 SKU 上可用。 无法从 CRS 3.2 降级到 CRS 3.1 或更早版本，因为 CRS 3.2 在新 Azure WAF 引擎上运行。 建议直接升级到最新的 DRS 2.1，并通过将新规则的动作更改为日志模式来安全地验证新规则。 有关详细信息，请参阅 安全验证新规则。
在用于容器的应用程序网关上运行的 Web 应用程序防火墙（WAF）不支持核心规则集（CRS）。
优化托管规则集
DRS 和 CRS 在 WAF 策略的检测模式下默认启用。 可以禁用或启用托管规则集内的各个规则，以满足应用程序要求。 还可以根据规则设置特定操作。 DRS/CRS 支持阻止操作、日志操作和异常评分操作。 Bot Manager 规则集支持允许、阻止和记录操作。
有时你可能需要忽略 WAF 评估中的某些请求属性。 一个常见的例子是用于身份验证的 Active Directory 插入令牌。 可以将排除项配置为在评估特定 WAF 规则时应用，或全局应用于所有 WAF 规则的评估。 排除规则适用于整个 Web 应用。 有关详细信息，请参阅包含应用程序网关排除列表的 Web 应用程序防火墙 (WAF)。
默认情况下，当请求与规则匹配时，Azure WAF 使用异常评分。 此外，如果要绕过核心规则集中的任何预配置规则，则可以在同一 WAF 策略中配置自定义规则。
在评估核心规则集中的规则之前，总是先应用自定义规则。 如果请求与某个自定义规则相匹配，将应用相应的规则操作。 请求将被阻止，或通过后端传递。 不会处理任何其他自定义规则或核心规则集中的规则。
异常评分
使用 CRS 或 DRS 2.1 及更高版本时，WAF 默认配置为使用异常评分。 即使 WAF 处于防护模式，符合任何规则的流量也不会被立即阻止。 OWASP 规则集为每个规则定义严重性：“严重”、“错误”、“警告”或“通知”。 这些严重性会影响请求的数值，该数值称为异常分数：
| 规则严重性 | 对异常分数的贡献值 |
|---|---|
| 严重 | 5 |
| 错误 | 4 |
| 警告 | 3 |
| 通知 | 2 |
如果异常分数为 5 或更高，并且 WAF 处于预防模式，则会阻止请求。 如果异常分数为 5 或更高，并且 WAF 处于检测模式，则会记录请求，但不会阻止请求。
例如，在预防模式下，一个“严重”规则匹配就足以让 WAF 阻止请求，因为总体异常分数为 5。 然而，一个“警告”规则匹配仅会使异常得分增加3分，这本身还不足以阻止流量。 触发异常规则时，它会在日志中显示“匹配”操作。 如果异常分数达到 5 或更高，将根据 WAF 策略是处于“预防”模式还是“检测”模式，触发单独的规则，并执行“阻止”或“检测到”的操作。 有关详细信息，请参阅 异常评分模式。
偏执狂级别
每条规则都在特定的偏执级别 (PL) 分配。 在 Paranoia 级别 1 (PL1) 中配置的规则不太激进，并且几乎从不会触发误报。 它们提供基础安全性，几乎不需要进行微调。 PL2 中的规则会检测到更多攻击，但预期会触发应微调的误报。
默认情况下，DRS 2.2 在 Paranoia 级别 1（PL1）配置，并且禁用所有 PL2 规则。 若要在 PL2 中运行 WAF，可以手动启用任何或所有 PL2 规则。 对于早期的规则集，DRS 2.1 和 CRS 3.2 包括为 Paranoia 级别 2 定义的规则，其中包括 PL1 和 PL2 规则。 如果希望严格在 PL1 范围内操作，可以禁用特定的 PL2 规则或将其动作设置为“日志”。
Azure WAF 目前不支持 Paranoia 级别 3 和 4。
注意
CRS 3.2 规则集包括 PL3 和 PL4 中的规则，但这些规则始终处于非活动状态，无论其配置的状态或作如何，都无法启用。
升级或更改规则集版本
如果要升级或分配新的规则集版本，并且想要保留现有规则替代和排除项，建议使用 PowerShell、CLI、REST API 或模板进行规则集版本更改。 新版本的规则集可以有较新的规则或其他规则组，你可能想要安全地验证这些规则。 建议验证测试环境中的更改，根据需要微调，然后在生产环境中部署。 有关详细信息，请参阅 升级 CRS 或 DRS 规则集版本
如果使用 Azure 门户将新的托管规则集分配给 WAF 策略，则现有托管规则集（如规则状态、规则作和规则级别排除）的所有以前的自定义都将重置为新的托管规则集的默认值。 但是，在分配新规则集期间，任何自定义规则、策略设置和全局排除均不受影响。 在生产环境中部署之前，需要重新定义规则替代和验证更改。
机器人管理器 1.0
Bot Manager 1.0 规则集可防范恶意机器人并检测出善意机器人。 这些规则通过将机器人流量划分为“善意”、“恶意”或“未知”机器人，对 WAF 检测到的机器人进行精细控制。
| 规则组 | 说明 |
|---|---|
| BadBots | 防范恶意机器人 |
| GoodBots | 识别善意机器人 |
| 未知的机器人 | 标识未知机器人 |
机器人管理器 1.1
Bot Manager 1.1 规则集是 Bot Manager 1.0 规则集的增强版。 它增强了对恶意机器人的防范，并增加了善意机器人检测。
| 规则组 | 说明 |
|---|---|
| BadBots | 防范恶意机器人 |
| GoodBots | 识别善意机器人 |
| 未知的机器人 | 标识未知机器人 |
在应用程序网关上使用 Web 应用程序防火墙时可以使用以下规则组和规则。
2.2 规则集
常规
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 200002 | 严重 - 5 | 1 | 无法分析请求正文。 |
| 200003 | 严重 - 5 | 1 | 多部分请求正文无法通过严格的验证 |
方法强制实施
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 911100 | 严重 - 5 | 1 | 方法不被政策允许 |
协议执行
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 920100 | 通知 - 2 | 1 | 无效的 HTTP 请求行 |
| 920120 | 严重 - 5 | 1 | 尝试了多部分/表单数据绕过 |
| 920121 | 严重 - 5 | 2 | 尝试了多部分/表单数据绕过 |
| 920160 | 严重 - 5 | 1 | Content-Length HTTP 标头不是数值。 |
| 920170 | 严重 - 5 | 1 | 包含正文内容的 GET 或 HEAD 请求。 |
| 920171 | 严重 - 5 | 1 | 使用传输编码的 GET 或 HEAD 请求。 |
| 920180 | 通知 - 2 | 1 | 不带内容长度或 Transfer-Encoding 标头的 POST。 |
| 920181 | 警告 - 3 | 1 | 内容长度和 Transfer-Encoding 标头存在 |
| 920190 | 警告 - 3 | 1 | 范围：最后一个字节值无效。 |
| 920200 | 警告 - 3 | 2 | 范围：字段太多（6 个或以上） |
| 920201 | 警告 - 3 | 2 | 范围：PDF 请求的字段过多（63 个或多个） |
| 920210 | 警告 - 3 | 1 | 找到多个/冲突的连接标头数据。 |
| 920220 | 警告 - 3 | 1 | URL 编码滥用攻击尝试 |
| 920230 | 警告 - 3 | 2 | 检测到多个 URL 编码 |
| 920240 | 警告 - 3 | 1 | URL 编码滥用攻击尝试 |
| 920260 | 警告 - 3 | 1 | Unicode 全角/半角滥用攻击企图 |
| 920270 | 严重 - 5 | 1 | 请求中的字符无效（null 字符） |
| 920271 | 严重 - 5 | 2 | 请求中的字符无效（不可打印的字符） |
| 920280 | 警告 - 3 | 1 | 请求缺少 Host 标头 |
| 920290 | 警告 - 3 | 1 | Host 标头为空 |
| 920300 | 通知 - 2 | 2 | 请求缺少 Accept 标头 |
| 920310 | 通知 - 2 | 1 | 请求包含空的 Accept 标头 |
| 920311 | 通知 - 2 | 1 | 请求包含空的 Accept 标头 |
| 920320 | 通知 - 2 | 2 | 缺少用户代理标头 |
| 920330 | 通知 - 2 | 1 | 用户代理标头为空 |
| 920340 | 通知 - 2 | 1 | 请求中包含内容，但缺少 Content-Type 标头 |
| 920341 | 严重 - 5 | 2 | 包含内容的请求需要内容类型标头 |
| 920350 | 警告 - 3 | 1 | Host 标头是数字 IP 地址 |
| 920420 | 严重 - 5 | 2 | 请求内容类型不符合策略规定 |
| 920430 | 严重 - 5 | 1 | 策略不允许使用 HTTP 协议版本 |
| 920440 | 严重 - 5 | 1 | 策略限制了 URL 文件扩展名 |
| 920450 | 严重 - 5 | 1 | 策略限制了 HTTP 标头 |
| 920470 | 严重 - 5 | 1 | Content-Type 标头非法 |
| 920480 | 严重 - 5 | 1 | 请求内容类型的字符集不被策略允许 |
| 920500 | 严重 - 5 | 1 | 尝试访问备份或正在工作的文件 |
| 920530 | 严重 - 5 | 1 | 限制内容类型标头内的 charset 参数最多发生一次 |
| 920620 | 严重 - 5 | 1 | 多个内容类型请求标头 |
协议攻击
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 921110 | 严重 - 5 | 1 | HTTP 请求走私攻击 |
| 921120 | 严重 - 5 | 1 | HTTP 响应拆分攻击 |
| 921130 | 严重 - 5 | 1 | HTTP 响应拆分攻击 |
| 921140 | 严重 - 5 | 1 | 通过标头展开的 HTTP 标头注入攻击 |
| 921150 | 严重 - 5 | 1 | 通过有效负载展开的 HTTP 标头注入攻击（检测到 CR/LF） |
| 921151 | 严重 - 5 | 2 | 通过有效负载展开的 HTTP 标头注入攻击（检测到 CR/LF） |
| 921160 | 严重 - 5 | 1 | 通过有效负载展开的 HTTP 标头注入攻击（检测到 CR/LF 和标头名称） |
| 921190 | 严重 - 5 | 1 | HTTP 拆分（检测到请求文件名中存在 CR/LF） |
| 921200 | 严重 - 5 | 1 | LDAP 注入攻击 |
| 921422 | 严重 - 5 | 2 | 在实际内容类型声明之外检测 Content-Type 标头中的内容类型 |
LFI：本地文件包含
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 930100 | 严重 - 5 | 1 | 路径遍历攻击 (/../) |
| 930110 | 严重 - 5 | 1 | 路径遍历攻击 (/../) |
| 930120 | 严重 - 5 | 1 | OS 文件访问尝试 |
| 930130 | 严重 - 5 | 1 | 受限文件访问尝试 |
RFI：远程文件包含
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 931100 | 严重 - 5 | 2 | 可能的远程文件包含 (RFI) 攻击：使用 IP 地址的 URL 参数 |
| 931110 | 严重 - 5 | 1 | 可能的远程文件包含 (RFI) 攻击：对 URL 有效负载使用常见 RFI 漏洞参数名 |
| 931120 | 严重 - 5 | 1 | 可能的远程文件包含 (RFI) 攻击：在 URL 有效负载中使用尾随问号 (?) |
| 931130 | 严重 - 5 | 2 | 可能的远程文件包含 (RFI) 攻击：域外引用/链接 |
RCE：远程命令执行
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 932100 | 严重 - 5 | 1 | 远程命令执行：Unix 命令注入 |
| 932105 | 严重 - 5 | 1 | 远程命令执行：Unix 命令注入 |
| 932110 | 严重 - 5 | 1 | 远程命令执行：Windows 命令注入 |
| 932115 | 严重 - 5 | 1 | 远程命令执行：Windows 命令注入 |
| 932120 | 严重 - 5 | 1 | 远程命令执行：找到 Windows PowerShell 命令 |
| 932130 | 严重 - 5 | 1 | 远程命令执行：找到 Unix Shell 表达式或 Confluence 漏洞 (CVE-2022-26134) |
| 932140 | 严重 - 5 | 1 | 远程命令执行：找到 Windows FOR/IF 命令 |
| 932150 | 严重 - 5 | 1 | 远程命令执行：直接 Unix 命令执行 |
| 932160 | 严重 - 5 | 1 | 远程命令执行：找到 Unix Shell 代码 |
| 932170 | 严重 - 5 | 1 | 远程命令执行：Shellshock (CVE-2014-6271) |
| 932171 | 严重 - 5 | 1 | 远程命令执行：Shellshock (CVE-2014-6271) |
| 932180 | 严重 - 5 | 1 | 受限文件上传企图 |
PHP 攻击
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 933100 | 严重 - 5 | 1 | PHP 注入攻击：找到 PHP 开启标记 |
| 933110 | 严重 - 5 | 1 | PHP 注入攻击：找到 PHP 脚本文件上传 |
| 933120 | 严重 - 5 | 1 | PHP 注入攻击：找到配置指令 |
| 933130 | 严重 - 5 | 1 | PHP 注入攻击：找到变量 |
| 933140 | 严重 - 5 | 1 | PHP 注入攻击：找到 I/O 流 |
| 933150 | 严重 - 5 | 1 | PHP 注入攻击：找到高风险的 PHP 函数名称 |
| 933151 | 严重 - 5 | 2 | PHP 注入攻击：找到中等风险的 PHP 函数名称 |
| 933160 | 严重 - 5 | 1 | PHP 注入攻击：找到高风险的 PHP 函数调用 |
| 933170 | 严重 - 5 | 1 | PHP 注入攻击：序列化对象注入 |
| 933180 | 严重 - 5 | 1 | PHP 注入攻击：找到可变函数调用 |
| 933200 | 严重 - 5 | 1 | PHP 注入攻击：检测到包装器方案 |
| 933210 | 严重 - 5 | 1 | PHP 注入攻击：找到可变函数调用 |
Node JS 攻击
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 934100 | 严重 - 5 | 1 | Node.js 注入攻击 |
XSS：跨站脚本
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 941100 | 严重 - 5 | 1 | 通过 libinjection 检测到 XSS 攻击 |
| 941101 | 严重 - 5 | 2 | 通过 libinjection 检测到 XSS 攻击 |
| 941110 | 严重 - 5 | 1 | XSS 筛选器 - 类别 1：脚本标记向量 |
| 941120 | 严重 - 5 | 2 | XSS 筛选器 - 类别 2：事件处理矢量 |
| 941130 | 严重 - 5 | 1 | XSS 筛选器 - 类别 3：属性向量 |
| 941140 | 严重 - 5 | 1 | XSS 筛选器 - 类别 4：Javascript URI 矢量 |
| 941150 | 严重 - 5 | 2 | XSS 筛选器 - 类别 5：不允许的 HTML 属性 |
| 941160 | 严重 - 5 | 1 | NoScript XSS InjectionChecker：HTML 注入 |
| 941170 | 严重 - 5 | 1 | NoScript XSS InjectionChecker：属性注入 |
| 941180 | 严重 - 5 | 1 | 节点验证器黑名单关键字 |
| 941190 | 严重 - 5 | 1 | IE XSS 筛选器 - 检测到攻击。 |
| 941200 | 严重 - 5 | 1 | IE XSS 筛选器 - 检测到攻击。 |
| 941210 | 严重 - 5 | 1 | IE XSS 筛选器 - 检测到攻击。 |
| 941220 | 严重 - 5 | 1 | IE XSS 筛选器 - 检测到攻击。 |
| 941230 | 严重 - 5 | 1 | IE XSS 筛选器 - 检测到攻击。 |
| 941240 | 严重 - 5 | 1 | IE XSS 筛选器 - 检测到攻击。 |
| 941250 | 严重 - 5 | 1 | IE XSS 筛选器 - 检测到攻击。 |
| 941260 | 严重 - 5 | 1 | IE XSS 筛选器 - 检测到攻击。 |
| 941270 | 严重 - 5 | 1 | IE XSS 筛选器 - 检测到攻击。 |
| 941280 | 严重 - 5 | 1 | IE XSS 筛选器 - 检测到攻击。 |
| 941290 | 严重 - 5 | 1 | IE XSS 筛选器 - 检测到攻击。 |
| 941300 | 严重 - 5 | 1 | IE XSS 筛选器 - 检测到攻击。 |
| 941310 | 严重 - 5 | 1 | US-ASCII 格式不正确的编码 XSS 筛选器 - 检测到攻击。 |
| 941320 | 严重 - 5 | 2 | 检测到可能的 XSS 攻击 - HTML 标记处理程序 |
| 941330 | 严重 - 5 | 2 | IE XSS 筛选器 - 检测到攻击。 |
| 941340 | 严重 - 5 | 2 | IE XSS 筛选器 - 检测到攻击。 |
| 941350 | 严重 - 5 | 1 | UTF-7 编码 IE XSS - 检测到攻击。 |
| 941360 | 严重 - 5 | 1 | 检测到 JSFuck / Hieroglyphy 混淆 |
| 941370 | 严重 - 5 | 1 | 找到 JavaScript 全局变量 |
| 941380 | 严重 - 5 | 2 | 检测到 AngularJS 客户端模板注入 |
SQLI：SQL 注入
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 942100 | 严重 - 5 | 1 | 检测到通过 libinjection 展开的 SQL 注入攻击 |
| 942110 | 警告 - 3 | 2 | SQL 注入攻击：检测到常用注入测试 |
| 942120 | 严重 - 5 | 2 | SQL 注入攻击：检测到 SQL 运算符 |
| 942140 | 严重 - 5 | 1 | SQL 注入攻击：检测到常用 DB 名称 |
| 942150 | 严重 - 5 | 2 | SQL 注入攻击 （替换为规则 #99031003） |
| 942160 | 严重 - 5 | 1 | 检测使用 sleep() 或 benchmark() 的盲 SQL 注入测试。 |
| 942170 | 严重 - 5 | 1 | 检测到包含条件查询的 SQL 基准和休眠注入企图 |
| 942180 | 严重 - 5 | 2 | 检测到基本 SQL 身份验证绕过尝试 1/3 |
| 942190 | 严重 - 5 | 1 | 检测到 MSSQL 代码执行和信息收集尝试 |
| 942200 | 严重 - 5 | 2 | 检测到 MySQL 注释/空间经过模糊处理的注入和反引号终止 |
| 942210 | 严重 - 5 | 2 | 检测链式 SQL 注入尝试次数 1/2 |
| 942220 | 严重 - 5 | 1 | 查找整数溢出攻击，这些攻击来自 skipfish，但 3.0.00738585072007e-308 是“幻数”故障 |
| 942230 | 严重 - 5 | 1 | 检测条件式 SQL 注入企图 |
| 942240 | 严重 - 5 | 1 | 检测 MySQL 字符集切换和 MSSQL 拒绝服务攻击尝试 |
| 942250 | 严重 - 5 | 1 | 检测 MATCH AGAINST、MERGE 和 EXECUTE IMMEDIATE 注入 |
| 942260 | 严重 - 5 | 2 | 检测基本 SQL 身份验证绕过尝试 2/3（替换为规则 #99031004） |
| 942270 | 严重 - 5 | 1 | 正在查找基本 SQL 注入。 MySQL、Oracle 和其他对象的常见攻击字符串。 |
| 942280 | 严重 - 5 | 1 | 检测 Postgres pg_sleep 注入、waitfor 延迟攻击和数据库关闭尝试 |
| 942290 | 严重 - 5 | 1 | 查找基本 MongoDB SQL 注入企图 |
| 942300 | 严重 - 5 | 2 | 检测到 MySQL 注释、条件和 ch(a)r 注入 |
| 942310 | 严重 - 5 | 2 | 检测链式 SQL 注入尝试次数 2/2 |
| 942320 | 严重 - 5 | 1 | 检测 MySQL 和 PostgreSQL 存储过程/函数注入 |
| 942330 | 严重 - 5 | 2 | 检测到经典 SQL 注入探测 1/3 |
| 942340 | 严重 - 5 | 2 | 检测基本 SQL 身份验证绕过尝试 3/3（替换为规则 #99031006） |
| 942350 | 严重 - 5 | 1 | 检测 MySQL UDF 注入和其他数据/结构操作企图 |
| 942360 | 严重 - 5 | 1 | 检测到连接的基本 SQL 注入和 SQLLFI 尝试 |
| 942361 | 严重 - 5 | 2 | 检测基于关键字 alter 或 union 的基本 SQL 注入 |
| 942370 | 严重 - 5 | 2 | 检测到经典 SQL 注入探测 2/3 |
| 942380 | 严重 - 5 | 2 | SQL 注入攻击 |
| 942390 | 严重 - 5 | 2 | SQL 注入攻击 |
| 942400 | 严重 - 5 | 2 | SQL 注入攻击 |
| 942410 | 严重 - 5 | 2 | SQL 注入攻击 |
| 942430 | 警告 - 3 | 2 | 受限 SQL 字符异常检测（args）：特殊字符数量超出（12）（被规则 #99031005 替代） |
| 942440 | 严重 - 5 | 2 | 检测到 SQL 注释序列（替换为规则 #99031002）。 |
| 942450 | 严重 - 5 | 2 | 识别到 SQL 十六进制编码 |
| 942470 | 严重 - 5 | 2 | SQL 注入攻击 |
| 942480 | 严重 - 5 | 2 | SQL 注入攻击 |
| 942500 | 严重 - 5 | 1 | 检测到 MySQL 内联注释。 |
| 942510 | 严重 - 5 | 2 | 检测到使用单引号或反引号绕过 SQLi 的尝试。 |
会话固定
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 943100 | 严重 - 5 | 1 | 可能的会话固定攻击：在 HTML 中设置 Cookie 值 |
| 943110 | 严重 - 5 | 1 | 可能的会话固定攻击：包含域外引用方的 SessionID 参数名称 |
| 943120 | 严重 - 5 | 1 | 可能的会话固定攻击：不包含引用方的 SessionID 参数名称 |
Java 攻击
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 944100 | 严重 - 5 | 1 | 远程命令执行：检测到可疑的 Java 类 |
| 944110 | 严重 - 5 | 1 | 远程命令执行：Java 进程生成 （CVE-2017-9805） |
| 944120 | 严重 - 5 | 1 | 远程命令执行：Java 序列化 (CVE-2015-5842) |
| 944130 | 严重 - 5 | 1 | 检测到可疑的 Java 类 |
| 944200 | 严重 - 5 | 2 | 检测到魔术字节，可能正在使用 java 序列化 |
| 944210 | 严重 - 5 | 2 | 检测到 Base64 编码的 Magic 字节，可能正在使用 Java 序列化 |
| 944240 | 严重 - 5 | 2 | 远程命令执行：Java 序列化和 Log4j 漏洞 （CVE-2021-44228， CVE-2021-45046） |
| 944250 | 严重 - 5 | 2 | 远程命令执行：检测到可疑的 Java 方法 |
MS-ThreatIntel-WebShells
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 99005002 | 严重 - 5 | 2 | Web Shell 交互尝试 (POST) |
| 99005003 | 严重 - 5 | 2 | Web Shell 上传尝试 (POST) - CHOPPER PHP |
| 99005004 | 严重 - 5 | 2 | Web Shell 上传尝试 (POST) - CHOPPER ASPX |
| 99005005 | 严重 - 5 | 2 | Web Shell 交互尝试 |
| 99005006 | 严重 - 5 | 2 | Spring4Shell 交互尝试 |
MS-ThreatIntel-AppSec
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 99030001 | 严重 - 5 | 2 | 标头中的路径遍历规避 (/.././../) |
| 99030002 | 严重 - 5 | 2 | 请求正文中的路径遍历规避 (/.././../) |
| 99030003 | 严重 - 5 | 2 | URL 编码的文件路径 |
| 99030004 | 严重 - 5 | 2 | 缺少支持浏览器的 brotli 编码和 https 引用器 |
| 99030005 | 严重 - 5 | 2 | 在支持 HTTP/2 的浏览器中缺少 brotli 编码。 |
| 99030006 | 严重 - 5 | 2 | 请求文件名中的非法字符 |
MS-ThreatIntel-SQLI
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 99031001 | 警告 - 3 | 2 | SQL 注入攻击：检测到常见注入测试（替换规则 #942110） |
| 99031002 | 严重 - 5 | 2 | 检测到 SQL 注释序列（替换规则 #942440）。 |
| 99031003 | 严重 - 5 | 2 | SQL 注入攻击 （替换规则 #942150） |
| 99031004 | 严重 - 5 | 2 | 检测基本的 SQL 身份验证绕过尝试 2/3（替换规则 #942260） |
| 99031005 | 警告 - 3 | 2 | 受限 SQL 字符异常检测（参数）：特殊字符数量超过（12）（触发规则替换 #942430） |
| 99031006 | 严重 - 5 | 2 | 检测基本的 SQL 身份验证绕过尝试 3/3（替换规则 #942340） |
MS-ThreatIntel-CVEs
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 99001001 | 严重 - 5 | 2 | 使用已知凭据尝试利用 F5 tmui (CVE-2020-5902) REST API |
| 99001002 | 严重 - 5 | 2 | 试图遍历 Citrix NSC_USER 目录 CVE-2019-19781 |
| 99001003 | 严重 - 5 | 2 | 尝试利用 Atlassian Confluence 小组件连接器 CVE-2019-3396 |
| 99001004 | 严重 - 5 | 2 | 尝试利用 Pulse Secure 自定义模板 CVE-2020-8243 |
| 99001005 | 严重 - 5 | 2 | 尝试利用 SharePoint 类型转换器 CVE-2020-0932 |
| 99001006 | 严重 - 5 | 2 | 试图遍历 Pulse Connect 目录 CVE-2019-11510 |
| 99001007 | 严重 - 5 | 2 | 尝试包含 Junos OS J-Web 本地文件 CVE-2020-1631 |
| 99001008 | 严重 - 5 | 2 | 试图遍历 Fortinet 路径 CVE-2018-13379 |
| 99001009 | 严重 - 5 | 2 | 尝试注入 Apache struts ognl CVE-2017-5638 |
| 99001010 | 严重 - 5 | 2 | 尝试注入 Apache struts ognl CVE-2017-12611 |
| 99001011 | 严重 - 5 | 2 | 试图遍历 Oracle WebLogic 路径 CVE-2020-14882 |
| 99001012 | 严重 - 5 | 2 | 尝试利用 Telerik WebUI 不安全反序列化 CVE-2019-18935 |
| 99001013 | 严重 - 5 | 2 | 尝试 SharePoint 不安全 XML 反序列化 CVE-2019-0604 |
| 99001014 | 严重 - 5 | 2 | 尝试使用 Spring Cloud 路由表达式注入 CVE-2022-22963 |
| 99001015 | 严重 - 5 | 2 | 尝试利用 Spring Framework 不安全类对象 CVE-2022-22965 |
| 99001016 | 严重 - 5 | 2 | 尝试进行 Spring Cloud Gateway Actuator 执行器注入 CVE-2022-22947 |
| 99001017 | 严重 - 5 | 2 | 尝试利用 Apache Struts 文件上传 CVE-2023-50164 |
MS-ThreatIntel-XSS
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 99032001 | 严重 - 5 | 1 | XSS 筛选器 - 类别 2：事件处理程序向量（替换规则 #941120） |
| 99032002 | 严重 - 5 | 2 | 可能的远程文件包含（RFI）攻击：外域引用/链接（替换规则 #931130） |
下面是以前的核心规则集版本。 如果使用 CRS 3.2、CRS 3.1、CRS 3.0 或 CRS 2.2.9，建议升级到 DRS 2.1 的最新规则集版本。 有关详细信息，请参阅 升级或更改规则集版本。
3.2 规则集
常规
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 200002 | 严重 - 5 | PL1 | 未能分析请求正文 |
| 200003 | 严重 - 5 | PL1 | 多部分请求正文严格验证 |
| 200004 | 严重 - 5 | PL1 | 可能的多部分不匹配边界 |
KNOWN-CVES
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 800100 | 严重 - 5 | PL2 | 有助于检测和缓解 log4j 漏洞 CVE-2021-44228、CVE-2021-45046 的规则 |
| 800110 | 严重 - 5 | PL2 | Spring4Shell 交互尝试 |
| 800111 | 严重 - 5 | PL2 | 尝试使用 Spring Cloud 路由表达式注入 - CVE-2022-22963 |
| 800112 | 严重 - 5 | PL2 | 尝试对 Spring Framework 不安全类对象进行利用 - CVE-2022-22965 |
| 800113 | 严重 - 5 | PL2 | 尝试 Spring Cloud Gateway 执行器注入 - CVE-2022-22947 |
| 800114* | 严重 - 5 | PL2 | 尝试利用 Apache Struts 文件上传 - CVE-2023-50164 |
| 800115 | 严重 - 5 | PL1 | 试图进行 React2Shell 远程代码执行攻击 CVE-2025-55182 |
* 默认情况下，此规则的操作设置为记录。将操作设置为“阻止”可防止 Apache Struts 漏洞。此规则不支持异常分数。
REQUEST-911-METHOD-ENFORCEMENT
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 911100 | 严重 - 5 | PL1 | 方法不被政策允许 |
REQUEST-913-SCANNER-DETECTION
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 913100 | 严重 - 5 | PL1 | 找到了与安全扫描程序关联的用户代理 |
| 913101 | 严重 - 5 | PL2 | 找到了与脚本/通用 HTTP 客户端关联的用户代理 |
| 913102 | 严重 - 5 | PL2 | 找到了与 Web 爬网程序/bot 关联的用户代理 |
| 913110 | 严重 - 5 | PL1 | 找到了与安全扫描程序关联的请求标头 |
| 913120 | 严重 - 5 | PL1 | 找到了与安全扫描程序关联的请求文件名/参数 |
REQUEST-920-PROTOCOL-ENFORCEMENT
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 920100 | 警告 - 3 | PL1 | 无效的 HTTP 请求行 |
| 920120 | 严重 - 5 | PL1 | 尝试了多部分/表单数据绕过 |
| 920121 | 严重 - 5 | PL2 | 尝试了多部分/表单数据绕过 |
| 920160 | 严重 - 5 | PL1 | Content-Length HTTP 标头不是数值 |
| 920170 | 严重 - 5 | PL1 | 包含正文内容的 GET 或 HEAD 请求 |
| 920171 | 严重 - 5 | PL1 | 包含 Transfer-Encoding 的 GET 或 HEAD 请求 |
| 920180 | 警告 - 3 | PL1 | POST 请求缺少 Content-Length 标头 |
| 920190 | 警告 - 3 | PL1 | 范围：最后一个字节值无效 |
| 920200 | 警告 - 3 | PL2 | 范围：字段太多（6 个或以上） |
| 920201 | 警告 - 3 | PL2 | 范围：pdf 请求的字段太多（35 个或以上） |
| 920210 | 警告 - 3 | PL1 | 找到了多个/有冲突的连接标头数据 |
| 920220 | 警告 - 3 | PL1 | URL 编码滥用攻击尝试 |
| 920230 | 警告 - 3 | PL2 | 检测到多个 URL 编码 |
| 920240 | 警告 - 3 | PL1 | URL 编码滥用攻击尝试 |
| 920250 | 警告 - 3 | PL1 | UTF8 编码滥用攻击企图 |
| 920260 | 警告 - 3 | PL1 | Unicode 全角/半角滥用攻击企图 |
| 920270 | 严重 - 5 | PL1 | 请求中的字符无效（null 字符） |
| 920271 | 严重 - 5 | PL2 | 请求中的字符无效（不可打印的字符） |
| 920280 | 警告 - 3 | PL1 | 请求缺少 Host 标头 |
| 920290 | 警告 - 3 | PL1 | Host 标头为空 |
| 920300 | 通知 - 2 | PL2 | 请求缺少 Accept 标头 |
| 920310 | 通知 - 2 | PL1 | 请求包含空的 Accept 标头 |
| 920311 | 通知 - 2 | PL1 | 请求包含空的 Accept 标头 |
| 920320 | 通知 - 2 | PL2 | 缺少用户代理标头 |
| 920330 | 通知 - 2 | PL1 | 用户代理标头为空 |
| 920340 | 通知 - 2 | PL1 | 请求中包含内容，但缺少 Content-Type 标头 |
| 920341 | 严重 - 5 | PL2 | 请求包含内容，但需要 Content-Type 标头 |
| 920350 | 警告 - 3 | PL1 | Host 标头是数字 IP 地址 |
| 920420 | 严重 - 5 | PL1 | 请求的内容类型被政策禁止 |
| 920430 | 严重 - 5 | PL1 | HTTP 协议版本不受策略允许 |
| 920440 | 严重 - 5 | PL1 | 策略限制了 URL 文件扩展名 |
| 920450 | 严重 - 5 | PL1 | 策略限制了 HTTP 标头 (%{MATCHED_VAR}) |
| 920470 | 严重 - 5 | PL1 | Content-Type 标头非法 |
| 920480 | 严重 - 5 | PL1 | 在 content-type 标头中限制字符集参数 |
REQUEST-921-PROTOCOL-ATTACK
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 921110 | 严重 - 5 | PL1 | HTTP 请求走私攻击 |
| 921120 | 严重 - 5 | PL1 | HTTP 响应拆分攻击 |
| 921130 | 严重 - 5 | PL1 | HTTP 响应拆分攻击 |
| 921140 | 严重 - 5 | PL1 | 通过标头展开的 HTTP 标头注入攻击 |
| 921150 | 严重 - 5 | PL1 | 通过有效负载展开的 HTTP 标头注入攻击（检测到 CR/LF） |
| 921151 | 严重 - 5 | PL2 | 通过有效负载展开的 HTTP 标头注入攻击（检测到 CR/LF） |
| 921160 | 严重 - 5 | PL1 | 通过有效负载展开的 HTTP 标头注入攻击（检测到 CR/LF 和标头名称） |
REQUEST-930-APPLICATION-ATTACK-LFI
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 930100 | 严重 - 5 | PL1 | 路径遍历攻击 (/../) |
| 930110 | 严重 - 5 | PL1 | 路径遍历攻击 (/../) |
| 930120 | 严重 - 5 | PL1 | OS 文件访问尝试 |
| 930130 | 严重 - 5 | PL1 | 受限文件访问尝试 |
REQUEST-931-APPLICATION-ATTACK-RFI
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 931100 | 严重 - 5 | PL1 | 可能的远程文件包含 (RFI) 攻击：使用 IP 地址的 URL 参数 |
| 931110 | 严重 - 5 | PL1 | 可能的远程文件包含 (RFI) 攻击：对 URL 有效负载使用常见 RFI 漏洞参数名 |
| 931120 | 严重 - 5 | PL1 | 可能的远程文件包含 (RFI) 攻击：在 URL 有效负载中使用尾随问号 (?) |
| 931130 | 严重 - 5 | PL2 | 可能的远程文件包含 (RFI) 攻击：域外引用/链接 |
REQUEST-932-APPLICATION-ATTACK-RCE
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 932100 | 严重 - 5 | PL1 | 远程命令执行：Unix 命令注入 |
| 932105 | 严重 - 5 | PL1 | 远程命令执行：Unix 命令注入 |
| 932110 | 严重 - 5 | PL1 | 远程命令执行：Windows 命令注入 |
| 932115 | 严重 - 5 | PL1 | 远程命令执行：Windows 命令注入 |
| 932120 | 严重 - 5 | PL1 | 远程命令执行：找到 Windows PowerShell 命令 |
| 932130 | 严重 - 5 | PL1 | 远程命令执行：找到 Unix Shell 表达式或 Confluence 漏洞 (CVE-2022-26134) 或 Text4Shell (CVE-2022-42889) |
| 932140 | 严重 - 5 | PL1 | 远程命令执行：找到 Windows FOR/IF 命令 |
| 932150 | 严重 - 5 | PL1 | 远程命令执行：直接 Unix 命令执行 |
| 932160 | 严重 - 5 | PL1 | 远程命令执行：找到 Unix Shell 代码 |
| 932170 | 严重 - 5 | PL1 | 远程命令执行：Shellshock (CVE-2014-6271) |
| 932171 | 严重 - 5 | PL1 | 远程命令执行：Shellshock (CVE-2014-6271) |
| 932180 | 严重 - 5 | PL1 | 受限文件上传企图 |
请求 - 933 - 应用 -ATTACK-PHP
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 933100 | 严重 - 5 | PL1 | PHP 注入攻击：找到开始/结束标记 |
| 933110 | 严重 - 5 | PL1 | PHP 注入攻击：找到 PHP 脚本文件上传 |
| 933120 | 严重 - 5 | PL1 | PHP 注入攻击：找到配置指令 |
| 933130 | 严重 - 5 | PL1 | PHP 注入攻击：找到变量 |
| 933140 | 严重 - 5 | PL1 | PHP 注入攻击：找到 I/O 流 |
| 933150 | 严重 - 5 | PL1 | PHP 注入攻击：找到高风险的 PHP 函数名称 |
| 933151 | 严重 - 5 | PL2 | PHP 注入攻击：找到中等风险的 PHP 函数名称 |
| 933160 | 严重 - 5 | PL1 | PHP 注入攻击：找到高风险的 PHP 函数调用 |
| 933170 | 严重 - 5 | PL1 | PHP 注入攻击：序列化对象注入 |
| 933180 | 严重 - 5 | PL1 | PHP 注入攻击：找到可变函数调用 |
| 933200 | 严重 - 5 | PL1 | PHP 注入攻击：检测到包装器方案 |
| 933210 | 严重 - 5 | PL1 | PHP 注入攻击：找到可变函数调用 |
REQUEST-941-申请-ATTACK-XSS
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 941100 | 严重 - 5 | PL1 | 通过 libinjection 检测到 XSS 攻击 |
| 941101 | 严重 - 5 | PL2 | 通过 libinjection 检测到的 XSS 攻击 此规则检测带有 Referer 标头的请求 |
| 941110 | 严重 - 5 | PL1 | XSS 筛选器 - 类别 1：脚本标记向量 |
| 941120 | 严重 - 5 | PL1 | XSS 筛选器 - 类别 2：事件处理矢量 |
| 941130 | 严重 - 5 | PL1 | XSS 筛选器 - 类别 3：属性向量 |
| 941140 | 严重 - 5 | PL1 | XSS 筛选器 - 类别 4：Javascript URI 向量 |
| 941150 | 严重 - 5 | PL2 | XSS 筛选器 - 类别 5：不允许的 HTML 属性 |
| 941160 | 严重 - 5 | PL1 | NoScript XSS InjectionChecker：HTML 注入 |
| 941170 | 严重 - 5 | PL1 | NoScript XSS InjectionChecker：属性注入 |
| 941180 | 严重 - 5 | PL1 | 节点验证器黑名单关键字 |
| 941190 | 严重 - 5 | PL1 | 使用样式表的 XSS |
| 941200 | 严重 - 5 | PL1 | 使用 VML 框架的 XSS |
| 941210 | 严重 - 5 | PL1 | 使用混淆 JavaScript 或 Text4Shell 的 XSS (CVE-2022-42889) |
| 941220 | 严重 - 5 | PL1 | 使用经过模糊处理的 VB Script 的 XSS |
| 941230 | 严重 - 5 | PL1 | 使用“embed”标记的 XSS |
| 941240 | 严重 - 5 | PL1 | 使用“import”或“implementation”属性的 XSS |
| 941250 | 严重 - 5 | PL1 | IE XSS 筛选器 - 检测到攻击 |
| 941260 | 严重 - 5 | PL1 | 使用“meta”标记的 XSS |
| 941270 | 严重 - 5 | PL1 | 使用“link”href 的 XSS |
| 941280 | 严重 - 5 | PL1 | 使用“base”标记的 XSS |
| 941290 | 严重 - 5 | PL1 | 使用“applet”标记的 XSS |
| 941300 | 严重 - 5 | PL1 | 使用“object”标记的 XSS |
| 941310 | 严重 - 5 | PL1 | US-ASCII 格式错误编码 XSS 筛选器 - 检测到攻击 |
| 941320 | 严重 - 5 | PL2 | 检测到可能的 XSS 攻击 - HTML 标记处理程序 |
| 941330 | 严重 - 5 | PL2 | IE XSS 筛选器 - 检测到攻击 |
| 941340 | 严重 - 5 | PL2 | IE XSS 筛选器 - 检测到攻击 |
| 941350 | 严重 - 5 | PL1 | UTF-7 编码 IE XSS - 检测到攻击 |
| 941360 | 严重 - 5 | PL1 | 检测到 JavaScript 混淆 |
请求-942-应用程序-ATTACK-SQLI
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 942100 | 严重 - 5 | PL1 | 检测到通过 libinjection 展开的 SQL 注入攻击 |
| 942110 | 警告 - 3 | PL2 | SQL 注入攻击：检测到常用注入测试 |
| 942120 | 严重 - 5 | PL2 | SQL 注入攻击：检测到 SQL 运算符 |
| 942130 | 严重 - 5 | PL2 | SQL 注入攻击：检测到 SQL 同义反复 |
| 942140 | 严重 - 5 | PL1 | SQL 注入攻击：检测到常用 DB 名称 |
| 942150 | 严重 - 5 | PL2 | SQL 注入攻击 |
| 942160 | 严重 - 5 | PL1 | 检测到使用 sleep() 或 benchmark() 的盲注 sqli 测试 |
| 942170 | 严重 - 5 | PL1 | 检测到包含条件查询的 SQL 基准和休眠注入企图 |
| 942180 | 严重 - 5 | PL2 | 检测到基本 SQL 身份验证绕过尝试 1/3 |
| 942190 | 严重 - 5 | PL1 | 检测到 MSSQL 代码执行和信息收集尝试 |
| 942200 | 严重 - 5 | PL2 | 检测到 MySQL 注释/空间经过模糊处理的注入和反引号终止 |
| 942210 | 严重 - 5 | PL2 | 检测链式 SQL 注入尝试次数 1/2 |
| 942220 | 严重 - 5 | PL1 | 查找整数溢出攻击，这些攻击来自 skipfish，但 3.0.00738585072007e-308 是“幻数”故障 |
| 942230 | 严重 - 5 | PL1 | 检测条件式 SQL 注入企图 |
| 942240 | 严重 - 5 | PL1 | 检测 MySQL 字符集切换和 MSSQL 拒绝服务攻击尝试 |
| 942250 | 严重 - 5 | PL1 | 检测 MATCH AGAINST、MERGE 和 EXECUTE IMMEDIATE 注入 |
| 942260 | 严重 - 5 | PL2 | 检测到基本 SQL 身份验证绕过尝试 2/3 |
| 942270 | 严重 - 5 | PL1 | 正在查找基本 SQL 注入。 针对 MySQL、Oracle 和其他系统的常见攻击字符串 |
| 942280 | 严重 - 5 | PL1 | 检测 Postgres pg_sleep 注入、waitfor 延迟攻击和数据库关闭尝试 |
| 942290 | 严重 - 5 | PL1 | 查找基本 MongoDB SQL 注入企图 |
| 942300 | 严重 - 5 | PL2 | 检测到 MySQL 注释、条件和 ch(a)r 注入 |
| 942310 | 严重 - 5 | PL2 | 检测链式 SQL 注入尝试次数 2/2 |
| 942320 | 严重 - 5 | PL1 | 检测 MySQL 和 PostgreSQL 存储过程/函数注入 |
| 942330 | 严重 - 5 | PL2 | 检测到经典 SQL 注入探测 1/2 |
| 942340 | 严重 - 5 | PL2 | 检测到基本 SQL 身份验证绕过尝试 3/3 |
| 942350 | 严重 - 5 | PL1 | 检测 MySQL UDF 注入和其他数据/结构操作企图 |
| 942360 | 严重 - 5 | PL1 | 检测到连接的基本 SQL 注入和 SQLLFI 尝试 |
| 942361 | 严重 - 5 | PL2 | 检测基于关键字 alter 或 union 的基本 SQL 注入 |
| 942370 | 严重 - 5 | PL2 | 检测到经典 SQL 注入探测 2/2 |
| 942380 | 严重 - 5 | PL2 | SQL 注入攻击 |
| 942390 | 严重 - 5 | PL2 | SQL 注入攻击 |
| 942400 | 严重 - 5 | PL2 | SQL 注入攻击 |
| 942410 | 严重 - 5 | PL2 | SQL 注入攻击 |
| 942430 | 警告 - 3 | PL2 | 受限 SQL 字符异常情况检测 (args)：已超出特殊字符数 (12) |
| 942440 | 严重 - 5 | PL2 | 检测到 SQL 注释序列 |
| 942450 | 严重 - 5 | PL2 | 识别到 SQL 十六进制编码 |
| 942470 | 严重 - 5 | PL2 | SQL 注入攻击 |
| 942480 | 严重 - 5 | PL2 | SQL 注入攻击 |
| 942500 | 严重 - 5 | PL1 | 检测到 MySQL 内联注释 |
REQUEST-943-应用攻击-SESSION-FIXATION
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 943100 | 严重 - 5 | PL1 | 可能的会话固定攻击：在 HTML 中设置 Cookie 值 |
| 943110 | 严重 - 5 | PL1 | 可能的会话固定攻击：包含域外引用方的 SessionID 参数名称 |
| 943120 | 严重 - 5 | PL1 | 可能的会话固定攻击：不包含引用方的 SessionID 参数名称 |
REQUEST-944-APPLICATION-ATTACK-JAVA
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 944100 | 严重 - 5 | PL1 | 远程命令执行：Apache Struts、Oracle WebLogic |
| 944110 | 严重 - 5 | PL1 | 检测潜在的有效负载执行 |
| 944120 | 严重 - 5 | PL1 | 可能的有效负载执行和远程命令执行 |
| 944130 | 严重 - 5 | PL1 | 可疑的 Java 类 |
| 944200 | 严重 - 5 | PL2 | 利用 Java 反序列化 Apache Commons |
| 944210 | 严重 - 5 | PL2 | 可能使用 Java 序列化 |
| 944240 | 严重 - 5 | PL1 | 远程命令执行：Java 序列化 |
| 944250 | 严重 - 5 | PL1 | 远程命令执行：检测到可疑的 Java 方法 |
非活动规则
| 规则 ID | 异常分数严重性 | 偏执狂级别 | 说明 |
|---|---|---|---|
| 920202 | 警告 - 3 | PL4 | （非活动规则，应忽略）范围：PDF 请求的字段过多（6 个或以上） |
| 920272 | 严重 - 5 | PL3 | （非活动规则，应忽略）请求中的字符无效（超出 ascii 127 以下的可打印字符范围） |
| 920273 | 严重 - 5 | PL4 | （非活动规则，应忽略）请求中的字符无效（超出严格的集的范围） |
| 920274 | 严重 - 5 | PL4 | （应忽略此非活动规则）请求标头中的无效字符（超出非常严格的集合范围） |
| 920460 | 严重 - 5 | PL4 | （非活动规则，应忽略）异常转义字符 |
| 921170 | 无 | PL3 | （应忽略无效规则）HTTP 参数污染 |
| 921180 | 严重 - 5 | PL3 | （非活动规则，应忽略）HTTP 参数污染 (%{TX.1}) |
| 932106 | 严重 - 5 | PL3 | （非活动规则，应忽略）远程命令执行：Unix 命令注入 |
| 932190 | 严重 - 5 | PL3 | （非活动规则，应忽略）远程命令执行：通配符绕过方法尝试 |
| 933111 | 严重 - 5 | PL3 | （非活动规则，应忽略）PHP 注入攻击：找到上传 PHP 脚本文件 |
| 933131 | 严重 - 5 | PL3 | （非活动规则，应忽略）PHP 注入攻击：找到变量 |
| 933161 | 严重 - 5 | PL3 | （非活动规则，应忽略）PHP 注入攻击：找到低值 PHP 函数调用 |
| 933190 | 严重 - 5 | PL3 | （非活动规则，应忽略）PHP 注入攻击：找到 PHP 结束标记 |
| 942251 | 严重 - 5 | PL3 | （非活动规则，应忽略）检测到 HAVING 注入 |
| 942420 | 警告 - 3 | PL3 | （非活动规则，应忽略）受限 SQL 字符异常检测 (cookies)：已超出特殊字符数 (8) |
| 942421 | 警告 - 3 | PL4 | （非活动规则，应忽略）受限 SQL 字符异常检测 (cookies)：已超出特殊字符数 (3) |
| 942431 | 警告 - 3 | PL3 | （非活动规则，应忽略）受限 SQL 字符异常检测 (args)：已超出特殊字符数 (6) |
| 942432 | 警告 - 3 | PL4 | （非活动规则，应忽略）受限 SQL 字符异常检测（参数）：特殊字符数量超过限制（2） |
| 942460 | 警告 - 3 | PL3 | （非活动规则，应忽略）元字符异常情况检测警报 - 重复的非单词字符 |
| 942490 | 严重 - 5 | PL3 | （非活动规则，应忽略）检测经典 SQL 注入探测 3/3 |