```html 防火墙漏洞 防火墙漏洞 上周帮一个客户做内网渗透测试，防火墙是墙漏某国产品牌，版本号我就不说了。防火规则写得挺漂亮——默认拒绝，墙漏只放行几个业务端口。防火但我用一条 nmap -sS -f --mtu 8 就绕过去了。墙漏分片包重组的防火时候，那台防火墙直接把后续分片当成了“已建立连接”的墙漏数据，压根没重新查规则。防火 这不是墙漏个例。防火墙漏洞跟软件漏洞完全两码事。防火软件崩了你能看见崩溃日志，墙漏防火墙被绕过了，防火它自己都不知道。墙漏日志里干干净净，防火流量照常转发，管理员还觉得一切正常。 我见过最离谱的一个配置：某企业边缘防火墙做了端口映射，把内网一台 Redis 的 6379 暴露到公网。问就是“业务需要”。再看规则——any any any permit 写在最上面，下面才是那些精细的拒绝规则。顺序反了，等于没写。防火墙的匹配逻辑是从上往下，第一条命中就停。你写一百条拒绝，第一条是放行全部，那后面全是摆设。
iptables -A INPUT -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP
iptables -A INPUT -p tcp --dport 3306 -j DROP 还有更隐蔽的。状态检测防火墙依赖 conntrack 表。表满了会怎样？新连接直接被丢弃，但已经建立的连接不受影响。攻击者要做的就是先建立大量合法连接把表撑爆，然后所有新连接——包括管理员的——全被拒绝。这不算传统漏洞，但效果一样：防火墙自己把自己打死了。我试过，一台默认 65536 条 conntrack 的机器，用 hping3 发两万个 SYN 包，三分钟就满了。 关键点：防火墙的“漏洞”往往不在代码里，而在部署方式和规则逻辑上。厂商修的是 CVE，但配置错误永远不会出现在补丁列表里。 应用层防火墙更麻烦。WAF 靠正则匹配攻击特征，你写个 UNION/**/SELECT 它拦了，但 UNION%0ASELECT 可能就放过去。编码方式稍微变一下，正则就失效。我见过一个 WAF 把 or 1=1 拦得死死的，但 or 0x1=0x1 直接过。规则是人写的，人就会漏。 那怎么办？别指望防火墙自己发现问题。你得从外面打进去看。定期做规则审计——把 any any 全找出来，把顺序错的调对，把 conntrack 上限调高，把分片包重组策略改成“重组后再查规则”。WAF 那边，别只信正则，上语义分析或者干脆把请求丢给后端做参数化查询。防火墙是道门，但门锁好不好用，得有人试着踹一脚才知道。 我见过太多人把防火墙当信仰。装上了，规则写了，就觉得安全了。实际上它就是个过滤器，过滤器会堵，会漏，会被人从旁边绕过去。别问防火墙有没有漏洞——问你自己上次从外面扫它是什么时候。 ``` | 
喜欢
讨厌