请求头 / User-Agent 检测
这一页把收到的关键请求头回显出来,方便你验证 WAF 对扫描器指纹、恶意 UA、注入型请求头的检测规则。用 curl 自定义头来测。
本次请求收到的头
| Header | Value |
|---|---|
| User-Agent | Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com) |
| X-Forwarded-For | 216.73.216.63, 216.73.216.63 |
| X-Real-IP | 216.73.216.63 |
| X-Forwarded-Host | edgestack.nfr-hk-prokvm.cftenant.com |
| Accept | */* |
curl 测试示例
# 恶意 User-Agent (扫描器指纹)
curl -A "sqlmap/1.7" "http://TARGET/index.php?page=headers"
curl -A "() { :; }; echo vuln" "http://TARGET/index.php?page=headers" # Shellshock
# 注入型 X-Forwarded-For
curl -H "X-Forwarded-For: 127.0.0.1' OR '1'='1" "http://TARGET/index.php?page=headers"
# 恶意 Referer / Cookie
curl -H "Referer: javascript:alert(1)" "http://TARGET/index.php?page=headers"
curl -b "session=" "http://TARGET/index.php?page=headers"
本靶场仅用于测试 你自己的 WAF(Cloudflare / JANUSEC 派生)的拦截与告警能力。 请只在你拥有或获得书面授权的环境中使用。
切换模式:环境变量 WAF_TESTBED_MODE=vuln(默认,含漏洞) 或 safe(加固对照组)。