WAF 测试靶场
这是一个故意含漏洞的 Web 应用,用来验证你的 WAF(Cloudflare WAF 以及基于 JANUSEC 二次开发的 WAF)能否正确检测和拦截常见攻击流量。
用法:把靶场放在 WAF 后面,依次发送下面各类 payload,观察 WAF 的拦截页 / 日志 / 告警是否命中。对照 safe 模式可确认"是 WAF 拦的还是应用自己拦的"。
包含的测试类别
| 模块 | OWASP / 攻击类别 | 典型触发点 |
|---|---|---|
| SQLi | SQL 注入 | 搜索框 / id 参数 / 报错型 / UNION / 布尔盲注 |
| XSS | 反射型 & 存储型 XSS | 搜索回显 / 评论存储 |
| LFI/RFI | 路径穿越 / 文件包含 | file 参数 |
| 命令注入 | OS Command Injection | ping / lookup 功能 |
| 文件上传 | 恶意文件上传 | webshell / 双扩展名 |
| SSRF | 服务端请求伪造 | url 抓取功能 |
| 请求头/UA | 恶意头 / 扫描器指纹 | User-Agent / X-Forwarded-For / Referer |
| 登录绕过 | 认证绕过 | SQLi 万能密码 |
| API | JSON body 检测 | POST JSON payload |
健康检查
Warning: http_response_code(): Cannot set response code - headers already sent (output started at /www/wwwroot/edgestack.nfr-hk-prokvm.cftenant.com/app/pages/home.php:1) in /www/wwwroot/edgestack.nfr-hk-prokvm.cftenant.com/app/includes/db.php on line 24
DB connection failed: Access denied for user 'waf_app'@'localhost' (using password: YES)